PT-2026-48723 · Vim · Vim

Tonghuaroot · Publicado 2026-06-11 · Atualizado 2026-06-15 · CVE-2026-52860

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.8

Alta

Vetor base

AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas Vim versões anteriores a 9.2.0597

Description O omni-completion de Python no editor de texto executa definições reconstruídas de funções e classes do buffer atual usando a função exec() para popular o dicionário de completação. Como o Python avalia expressões de base de classe, anotações de parâmetros e valores padrão de funções durante a definição, um buffer malicioso pode disparar a execução de expressões Python controladas por um atacante durante o processo de omni-completion. A mitigação g:pythoncomplete allow import é ineficaz neste caso, pois o código executado não é uma instrução de importação.

Recommendations Atualizar para a versão 9.2.0597.

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-52860

Produtos afetados

Vim

Referências · 6

• https://github.com/vim/vim/releases/tag/v9.2.0597 · Nota
• https://github.com/vim/vim/security/advisories/GHSA-52mc-rq6p-rc7c · Aviso do Fabricante
• https://github.com/vim/vim/commit/c8c63673bc4253212820626aeeb75999d9a539d2 · Correção
• https://github.com/vim/vim/security/advisories/GHSA-65p9-mwwx-7468 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2026-52860 · Nota de Segurança
• https://t.me/cveNotify/167397 · Publicação no Telegram