Podatności launch-editor

Biblioteka launch-editor przed wersją 2.14.2 nie wymusza traktowania ścieżki pliku jako argumentu pozycyjnego. Jeśli atakujący utworzy plik zaczynający się od plusa lub minusa, wybrany edytor (Vim, gVim, MacVim, Emacs, Emacsclient, Notepad++ z pluginem) zinterpretuje nazwę pliku jako flagę wiersza poleceń, co może doprowadzić do nadpisania plików lub wykonania dowolnych poleceń.

Biblioteka launch-editor przed wersją 2.14.2 nie escapowała znaku % na Windows podczas przekazywania argumentu do cmd. Jeśli zmienna środowiskowa zawierała złośliwą wartość, mogło dojść do wykonania jej zawartości.

launch-editor-middleware przed wersją 2.14.2 nieprawidłowo przetwarza kontrolowany przez atakującego argument pliku Windows kończący się składnikiem katalogu nadrzędnego oraz sufiksem linii i kolumny. Ścieżka jest rozwiązywana z sufiksem, a następnie sufiks jest usuwany przed sprawdzeniem existsSync, co pozwala ominąć walidację istnienia pliku. W połączeniu z osobną luką rozwijania procentów w Windows może prowadzić do wstrzyknięcia poleceń systemowych.

Podatność w bibliotece launch-editor (używanej przez Vite) przed wersją 2.9.0 pozwala na wykonanie dowolnych poleceń w systemie Windows. Problem wynika z niedostatecznego oczyszczania argumentu `file` w funkcji `launchEditor`, co umożliwia atakującemu wstrzyknięcie specjalnych znaków.