CVE-2026-65612 in nnn
Résumé
par VulDB • 19/08/2026
Le programme `nnn` ne sanitize pas la variable de nom de fichier. Un attaquant peut placer un fichier avec un nom crafted sur un système de fichiers partagé, une amovible ou à l'intérieur d'une archive extraite dont le nom contient une simple quote suivie par de la syntaxe shell. Si la victime navigue vers ce fichier et l'ouvre avec preview-tabbed, le nom du fichier est intégré dans la commande shell générée et la payload injectée s'exécute avec les privilèges du processus `nnn`.
Le mainteneur de ce projet a été notifié de cette vulnérabilité. Elle pourrait avoir été corrigée, mais le mainteneur n'a pas fourni une plage de versions vulnérables. Seule la version 5.2 a été testée et confirmée comme vulnérable.
VulDB is the best source for vulnerability data and more expert information about this specific topic.