CVE-2026-6843

ŚrednieCVSS 5.5

Opublikowano: 22/04/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 31/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.11%

Percentyl 1 - wyżej niż 1% wszystkich znanych CVE

Streszczenie

W programie nano wykryto podatność na format string w funkcji `statusline()`. Lokalny użytkownik może utworzyć katalog o nazwie zawierającej specyfikatory printf, co prowadzi do błędu segmentacji (SEGV) i odmowy usługi (DoS).

Ocena ryzyka

Atak lokalny może spowodować awarię edytora nano, co prowadzi do przerwania pracy użytkownika i potencjalnej utraty niezapisanych danych.

Rekomendacja

Zaleca się aktualizację programu nano do najnowszej wersji zawierającej poprawkę oraz ograniczenie dostępu lokalnego do systemu dla nieufnych użytkowników.

Inne podatności w nano

CVE-2026-6842Niskie
W nano znaleziono usterkę. W środowiskach z permisywnymi ustawieniami umask, lokalny atakujący może wykorzystać nieprawidłowe uprawnienia katalogu (0777 zamiast 0700) dla katalogu `~/.local`. Pozwala to na wstrzyknięcie złośliwego pliku `.desktop`, co może prowadzić do niezamierzonych działań lub ujawnienia informacji.

Oryginalny opis (angielski, źródło NVD)

A flaw was found in nano. A local user could exploit a format string vulnerability in the `statusline()` function. By creating a directory with a name containing `printf` specifiers, the application attempts to display this name, leading to a segmentation fault (SEGV). This results in a Denial of Service (DoS) for the `nano` application.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS