CVE-2026-44656
Vim : Injection de commandes OS via la complétion « path »
- Publié
- 8 mai 2026
- Mise à jour
- 11 mai 2026
- Attribution de CNA
- GitHub_M
- Preuve observée
- 25 août 2026
CVSS primaire
nvd · CVSS 4.0
CVSS:4.0/AV:L/AC:L/AT:N/PR:N/UI:A/VC:L/VI:L/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:XFaible · 30 prochains jours
- Percentile
- 56,0 %
- Date du modèle
- 15 oct. 2026
EPSS est une estimation statistique, et non une certitude ou une mesure d'impact. Combinez-le avec CVSS, le statut KEV, l'exposition et votre environnement.
Résumé
Vim est un éditeur de texte open source en ligne de commande. Avant la version 9.2.0435, une vulnérabilité d'injection de commandes système existe dans la complétion de ligne de commande `:find` de Vim. Lorsque l'option path contient des commandes shell entre backticks, ces commandes sont exécutées pendant la complétion des noms de fichiers. Étant donné que l'option path ne possède pas le drapeau P_SECURE, elle peut être définie à partir d'une modeline, ce qui permet à un attaquant qui contrôle le contenu d'un fichier d'exécuter des commandes shell arbitraires lorsque l'utilisateur ouvre ce fichier dans Vim et déclenche la complétion `:find`. Ce problème a été corrigé dans la version 9.2.0435.
Sources
Environnement de reproduction pour CVE-2026-44656, une vulnérabilité d'injection de commande dans les modelines de Vim. Inclut la configuration Docker, le fichier PoC et le script d'exploitation pour démontrer l'exécution arbitraire de commandes via l'expansion des backticks dans l'option path.
Utilisation responsable
Utilisez les informations de vulnérabilité uniquement sur les systèmes que vous possédez ou que vous êtes autorisé à tester. Kitploit renvoie aux métadonnées de la recherche publique et ne stocke pas de code d'exploitation ni de charges utiles malveillantes.