CVE-2026-8997

ŚrednieCVSS 4.8

Opublikowano: 22/05/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.14%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

vifm jest podatny na przepełnienie bufora sterty podczas scalania historii przy zapisie pliku stanu (vifminfo.json). Brak kontroli długości wpisów historii w wersjach wydaniowych może pozwolić na umieszczenie długiej ścieżki lub komendy w historii, co prowadzi do uszkodzenia pamięci lub awarii. Podatne są wersje od 0.12.1 do 0.14.3 włącznie.

Ocena ryzyka

Ryzyko obejmuje potencjalne uszkodzenie pamięci i awarie aplikacji, co może zakłócić działanie użytkownika i prowadzić do utraty danych.

Rekomendacja

Zaleca się aktualizację vifm do wersji zawierającej poprawkę (commit 23063c7) lub nowszej.

Inne podatności w vifm

CVE-2026-110237Wysokie
Vifm od wersji 0.8.1-beta do 0.14.4 ponownie używa istniejącego FIFO IPC w wspólnym katalogu tymczasowym bez sprawdzania właściciela, co pozwala lokalnym użytkownikom na wykonywanie poleceń jako inny użytkownik. Atakujący mogą wcześniej utworzyć światowo zapisywalny FIFO vifm-ipc-vifm i zapisywać pakiety IPC z poleceniami -c i !, które wykonują się z uprawnieniami ofiary.

Oryginalny opis (angielski, źródło NVD)

vifm is vulnerable to a heap buffer overflow during the history merge process when saving the state file (vifminfo.json). This flaw occurs because the application lacks a runtime check on the length of history entries in release builds, potentially allowing a crafted long path or command in the history to cause memory corruption or application crashes. Releases from 0.12.1 to 0.14.3 (including) are considered vulnerable. This issue was fixed in commit 23063c7

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS