CVE-2026-52860
WysokieCVSS 7.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
W Vimie przed wersją 9.2.0597 funkcja autouzupełniania Pythona (omni-completion) wykonuje zrekonstruowane definicje funkcji i klas z bieżącego bufora za pomocą exec(). Python oblicza domyślne wartości argumentów, adnotacje parametrów i wyrażenia klas w momencie definiowania, więc złośliwy bufor może wykonać kontrolowane przez atakującego wyrażenia Pythona podczas autouzupełniania. Istniejące zabezpieczenie g:pythoncomplete_allow_import nie obejmuje tej ścieżki, ponieważ kontrolowany kod nie jest przechwyconą instrukcją import/from.
Ocena ryzyka
Atakujący może wstrzyknąć i wykonać dowolny kod Python w kontekście edytora Vim, co może prowadzić do przejęcia kontroli nad systemem, kradzieży danych lub eskalacji uprawnień, jeśli ofiara otworzy złośliwy plik i uruchomi autouzupełnianie.
Rekomendacja
Należy natychmiast zaktualizować Vima do wersji 9.2.0597 lub nowszej. Jeśli aktualizacja nie jest możliwa, należy wyłączyć funkcję autouzupełniania Pythona (omni-completion) lub unikać otwierania niezaufanych plików.
Oryginalny opis (angielski, źródło NVD)
Vim is an open source, command line text editor. Prior to version 9.2.0597, Vim's Python omni-completion executes reconstructed function and class definitions from the current buffer with exec() as part of populating the completion dictionary. Python evaluates function default values, parameter annotations, and class base expressions at definition time, so a hostile buffer can execute attacker-controlled Python expressions during omni-completion. The existing g:pythoncomplete_allow_import mitigation (GHSA-52mc-rq6p-rc7c) does not cover this path, because the attacker-controlled code is not a harvested import/from statement. This issue has been patched in version 9.2.0597.