CVE-2026-86022 in VNote
Zusammenfassung
von VulDB • 13.10.2026
VNote è una piattaforma per la presa di appunti. Prima della versione 4.3.0, SessionConfig::ExternalProgram::fetchCommand racchiude un percorso di nota tra virgolette doppie e lo sostituisce in una stringa di comandi che QProcess::start(const QString&) riparte negli argomenti tramite ProcessUtils::startDetached. Il percorso automatico in src/controllers/viewareacontroller.cpp e il percorso "Apri con" in src/controllers/notebooknodecontroller.cpp raggiungono entrambi questo sink (punto finale vulnerabile). Su Linux e macOS, una virgoletta doppia controllata dall'attaccante in un nome di file POSIX può terminare il percorso tra virgolette e aggiungere argomenti al programma esterno configurato dalla vittima. Se il programma configurato supporta un argomento che esegue comandi, come l'opzione -c di vim o gvim, gli argomenti iniettati possono eseguire comandi arbitrari con i privilegi dell'utente. Questo problema è risolto nella versione 4.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.