- Yama var
- CWE-88
CVE-2026-112944
launch-editor'da düzenleyici CLI bayrakları yanlış yorumlanıyor, bazı editörlerde keyfi komut çalıştırılabiliyor
- Yayımlandı
- Güncellendi
- 20 Eki 2026
- Açık yaşı
- 8 gün
- Kaydı açan
- GitHub_M
ÖzetTürkçe
launch-editor, Node.js üzerinden satır numaralı dosyaların bir editörde açılmasına olanak tanır. 2.14.2 sürümünden önce, bir saldırgan çalışma dizininde artı veya eksi işaretiyle başlayan bir dosya sistemi girdisi oluşturabiliyorsa, etkilenen bir editör seçildiğinde ve yol göreli kalabiliyorsa ya da göreli bir WSL yoluna dönüştürülüyorsa, launchEditor yolu, dosya adının konumsal bir parametre olarak yorumlanmasını zorlamadan iletir. Bu durumda editörün seçenek ayrıştırması saldırgan kontrolündeki dosya adını komut satırı bayrağı olarak ele alır; bu da seçilen editör tarafından istenmeyen dosya üzerine yazmaya veya keyfi komut çalıştırmaya yol açabilir. Etkilenen editörler Vim ve gVim, MacVim, Emacs ve Emacsclient ile bir eklenti tehlikeli işlemleri açığa çıkardığında Notepad++'tır. WSL yol dönüştürmesi, Vite ve daha yeni ara yazılım çağrıcılarını bu duruma açık bırakmaya devam eder. Bu sorun 2.14.2 sürümünde giderilmiştir. CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N
Kaynaktaki açıklama (İngilizce)
launch-editor allows users to open files with line numbers in editor from Node.js. Prior to 2.14.2, when an attacker can create a filesystem entry beginning with plus or minus in the working directory, an affected editor is selected, and the path can remain relative or is converted to a relative WSL path, launchEditor forwards the path without forcing it to be interpreted as a positional filename. Editor option parsing then treats the attacker-controlled filename as a command-line flag, which can cause unintended file overwrite or arbitrary command execution by the selected editor. The affected editors are Vim and gVim, MacVim, Emacs and Emacsclient, and Notepad++ when a plugin exposes dangerous operations; WSL path conversion keeps Vite and newer middleware callers exposed. This issue is fixed in version 2.14.2.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler3 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| vitejs launch-editor | < 2.14.2 | 2.14.2 |
| vitejs vite | < 6.4.4 | 6.4.4 |
| vitejs vite-plus | < 1.1.0 | 1.1.0 |
Kaynaklar6 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.