CVE-2024-52011
WysokieCVSS 8.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
Podatność w bibliotece launch-editor (używanej przez Vite) przed wersją 2.9.0 pozwala na wykonanie dowolnych poleceń w systemie Windows. Problem wynika z niedostatecznego oczyszczania argumentu `file` w funkcji `launchEditor`, co umożliwia atakującemu wstrzyknięcie specjalnych znaków.
Ocena ryzyka
Atakujący może zdalnie wykonać dowolne polecenia na serwerze Windows, co prowadzi do pełnej kompromitacji systemu, kradzieży danych lub instalacji złośliwego oprogramowania.
Rekomendacja
Należy natychmiast zaktualizować bibliotekę launch-editor do wersji 2.9.0 lub nowszej, a w przypadku korzystania z Vite do wersji 5.4.9 lub nowszej.
Inne podatności w launch-editor
Zobacz wszystkie- CVE-2026-112944Średnie
Biblioteka launch-editor przed wersją 2.14.2 nie wymusza traktowania ścieżki pliku jako argumentu pozycyjnego. Jeśli atakujący utworzy plik zaczynający się od plusa lub minusa, wybrany edytor (Vim, gVim, MacVim, Emacs, Emacsclient, Notepad++ z pluginem) zinterpretuje nazwę pliku jako flagę wiersza poleceń, co może doprowadzić do nadpisania plików lub wykonania dowolnych poleceń.
- CVE-2026-112943Średnie
Biblioteka launch-editor przed wersją 2.14.2 nie escapowała znaku % na Windows podczas przekazywania argumentu do cmd. Jeśli zmienna środowiskowa zawierała złośliwą wartość, mogło dojść do wykonania jej zawartości.
- CVE-2026-112942Wysokie
launch-editor-middleware przed wersją 2.14.2 nieprawidłowo przetwarza kontrolowany przez atakującego argument pliku Windows kończący się składnikiem katalogu nadrzędnego oraz sufiksem linii i kolumny. Ścieżka jest rozwiązywana z sufiksem, a następnie sufiks jest usuwany przed sprawdzeniem existsSync, co pozwala ominąć walidację istnienia pliku. W połączeniu z osobną luką rozwijania procentów w Windows może prowadzić do wstrzyknięcia poleceń systemowych.
Oryginalny opis (angielski, źródło NVD)
launch-editor allows users to open files with line numbers in editor from Node.js. Prior to version 2.9.0, due to the insufficient sanitization of the `file` argument in the `launchEditor`, an attacker can execute arbitrary commands on Windows by supplying a filename that contains special characters. This issue has been fixed in the `launch-editor` version 2.9.0, corresponding to vite version 5.4.9.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS