CVE-2025-13566

NiskieCVSS 3.3

Opublikowano: 23/11/2025(UTC)Zaktualizowano: 08/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 2 - wyżej niż 2% wszystkich znanych CVE

Streszczenie

Wykryto podatność w narzędziu jarun nnn do wersji 5.1. Problem dotyczy funkcji show_content_in_floating_window/run_cmd_as_plugin w pliku nnn/src/nnn.c i prowadzi do podwójnego zwolnienia pamięci (double free). Atak wymaga dostępu lokalnego.

Ocena ryzyka

Podwójne zwolnienie pamięci może prowadzić do awarii programu lub potencjalnie do wykonania dowolnego kodu w kontekście użytkownika uruchamiającego nnn. Ryzyko dotyczy systemów, gdzie nnn jest używane z niezweryfikowanymi wtyczkami lub skryptami.

Rekomendacja

Zaleca się natychmiastowe zainstalowanie poprawki o identyfikatorze 2f07ccdf21e705377862e5f9dfa31e1694979ac7, aby wyeliminować podatność.

Inne podatności w jarun nnn

CVE-2026-121548Wysokie
Jarun nnn do wersji 5.3 zawiera lukę wstrzyknięcia poleceń systemu operacyjnego w plugins/togglex, która pozwala atakującym wykonywać polecenia poprzez spreparowane nazwy plików. Atakujący mogą umieścić pliki, których nazwy zawierają podwójny cudzysłów i składnię powłoki, które xargs -I wstawia do skryptu sh -c, uruchamiając polecenia jako użytkownik wywołujący togglex.

Oryginalny opis (angielski, źródło NVD)

A security vulnerability has been detected in jarun nnn up to 5.1. The impacted element is the function show_content_in_floating_window/run_cmd_as_plugin of the file nnn/src/nnn.c. The manipulation leads to double free. An attack has to be approached locally. The identifier of the patch is 2f07ccdf21e705377862e5f9dfa31e1694979ac7. It is suggested to install a patch to address this issue.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS