PT-2026-47249 · Neovim · Neovim

Nanhang · Publicado 2026-06-08 · Atualizado 2026-06-08 · CVE-2026-11487

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Neovim versões anteriores a 0.12.3

Descrição Uma falha no componente View Branch permite a injeção de comandos via host local. O problema existe na função M.read() localizada no arquivo runtime/lua/vim/secure.lua, onde a manipulação do argumento path pode levar à execução de comandos arbitrários.

Recomendações Aplique o patch f83e0dcaf8cf18de94828341b0a1a61a86c75baf para remediar o problema. Como medida paliativa temporária, restrinja ou evite o uso da função M.read() em runtime/lua/vim/secure.lua ao lidar com argumentos path não confiáveis.

Exploit

Correção

Special Elements Injection

Command Injection

Enumeração de Fraquezas

CWE-74

CWE-77

Identificadores relacionados

CVE-2026-11487

Produtos afetados

Neovim

Referências · 17

• 🔥 https://github.com/neovim/neovim/issues/39914 · Exploit
• https://github.com/neovim/neovim/pull/39918 · Correção
• https://github.com/neovim/neovim/commit/f83e0dcaf8cf18de94828341b0a1a61a86c75baf · Correção
• https://github.com/neovim/neovim · Nota
• https://vuldb.com/cve/CVE-2026-11487 · Nota
• https://osv.dev/vulnerability/UBUNTU-CVE-2026-11487 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2026-11487 · Aviso do Fabricante
• https://t.me/CVEtracker/56133 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-11487 · Nota de Segurança
• https://vuldb.com/vuln/369107 · Nota
• https://cve.org/CVERecord?id=CVE-2026-11487 · Nota de Segurança
• https://ubuntu.com/security/CVE-2026-11487 · Aviso do Fabricante
• https://twitter.com/CVEnew/status/2063958198491517033 · Publicação no Twitter
• https://vuldb.com/submit/834495 · Nota
• https://vuldb.com/vuln/369107/cti · Nota