PT-2026-48707 · Vim · Vim

Christopher Lusk · Publicado 2026-06-11 · Atualizado 2026-06-15 · CVE-2026-47167

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L

Nome do Software Vulnerável e Versões Afetadas Vim versões anteriores a 9.2.0496

Descrição Um problema de injeção de código existe na função s:stepmatch() dentro do plugin de tipo de arquivo cucumber (runtime/ftplugin/cucumber.vim) para builds com suporte +ruby. Padrões de definição de etapa lidos de arquivos .rb nos diretórios features/*/ ou stories/*/ são incorporados em um argumento Kernel.eval do Ruby sem a sanitização adequada. Isso permite que um padrão malicioso em um repositório controlado por um invasor execute código Ruby e comandos de shell arbitrários quando o usuário invoca um mapeamento de salto de etapa ([d, ]d).

Recomendações Atualize para a versão 9.2.0496.

Correção

Code Injection

Eval Injection

Enumeração de Fraquezas

CWE-94

CWE-95

Identificadores relacionados

CVE-2026-47167

Produtos afetados

Vim

Referências · 5

• https://github.com/vim/vim/releases/tag/v9.2.0496 · Nota
• https://github.com/vim/vim/commit/a65a52d684bc58535ad28a4ae824d22e76399934 · Correção
• https://github.com/vim/vim/security/advisories/GHSA-4473-94jm-w5x9 · Aviso do Fabricante
• https://t.me/cveNotify/167395 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-47167 · Nota de Segurança