PT-2026-39213 · Vim+2 · Vim+2

Megamansec · Publicado 2026-04-29 · Atualizado 2026-06-09 · CVE-2026-42307

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.4

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas Vim versões anteriores a 9.2.0383

Description Um problema de injeção de comando de SO existe no plugin padrão netrw. Um invasor pode executar comandos de shell arbitrários com os privilégios do processo Vim ao induzir um usuário a abrir uma URL manipulada, especificamente utilizando os manipuladores de protocolo 'sftp://' ou 'file://'.

Recommendations Atualizar para a versão 9.2.0383.

Correção

OS Command Injection

Enumeração de Fraquezas

CWE-78

Identificadores relacionados

CVE-2026-42307

ECHO-086C-FDA2-1A2A

OESA-2026-2447

OESA-2026-2448

OESA-2026-2449

OESA-2026-2450

OESA-2026-2472

SUSE-SU-2026:2313-1

USN-8304-1

Produtos afetados

Linuxmint

Ubuntu

Vim

Referências · 50

• https://github.com/vim/vim/security/advisories/GHSA-85ch-p2qr-m5gx · Aviso do Fabricante
• https://github.com/vim/vim/commit/405e2fb6d54d5653523809e2853d99d1c000a5fc · Correção
• https://github.com/vim/vim/releases/tag/v9.2.0383 · Nota
• https://docs.bell-sw.com/security/cves/CVE-2026-42307 · Nota
• https://bugzilla.suse.com/1261833 · Nota
• https://twitter.com/CVEnew/status/2053131412434542854 · Publicação no Twitter
• https://bugzilla.suse.com/1262395 · Nota
• https://suse.com/security/cve/CVE-2026-44656 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-44656 · Nota de Segurança
• https://osv.dev/vulnerability/OESA-2026-2450 · Aviso do Fabricante
• https://suse.com/security/cve/CVE-2026-42307 · Nota
• https://openeuler.org/zh/security/security-bulletins/detail/?id=openEuler-SA-2026-2450 · Nota
• https://t.me/cveNotify/163337 · Publicação no Telegram
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-42307 · Aviso do Fabricante
• https://bugzilla.suse.com/1265349 · Nota