CVE-2026-6390

ŚrednieCVSS 6.8

Opublikowano: 23/07/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.15%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

W GNU nano wykryto podatność format string w obsłudze komunikatów błędów przy otwieraniu wielu plików. Specjalnie spreparowana nazwa pliku może zawierać specyfikatory formatu printf, co prowadzi do ujawnienia informacji ze stosu, odmowy usługi lub potencjalnie dowolnego zapisu w pamięci.

Ocena ryzyka

Atakujący może zdalnie spowodować wyciek poufnych danych, awarię edytora lub przejąć kontrolę nad procesem nano, co zagraża bezpieczeństwu systemu.

Rekomendacja

Należy niezwłocznie zaktualizować GNU nano do wersji, w której załatano tę podatność (np. 8.3 lub nowszej).

Inne podatności w GNU nano

CVE-2024-5742Niskie
W edytorze GNU Nano znaleziono podatność umożliwiającą eskalację uprawnień przez niebezpieczny plik tymczasowy. Jeśli Nano zostanie zabity podczas edycji, zapisuje plik awaryjny z uprawnieniami bieżącego użytkownika.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in GNU nano's multi-buffer error message handling. When a user opens multiple files at startup and one triggers an ALERT-level error, a specially crafted filename containing printf format specifiers can be reinterpreted. This format string vulnerability may allow an attacker to achieve stack information disclosure, cause a denial of service (crash), or potentially perform arbitrary memory writes.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS