CVE-2026-59856 in Vim
Riassunto
di VulDB • 10/07/2026
Vim è un editor di testo open source da riga di comando. Prima della versione 9.2.0736, lo script di completamento automatico PHP (omni-completion) presente nel file runtime/autoload/phpcomplete.vim interpola il nome di una classe o di un trait, estratto dal contenuto del buffer in fase di modifica, all'interno di un pattern per la funzione search() che viene eseguito tramite win_execute() senza effettuare l'escaping. Un nome contenente un apice singolo può terminare anticipatamente l'argomento stringa della ricerca(); poiché il carattere barra verticale (|) è riconosciuto come separatore di comandi Ex, il resto del nome viene eseguito come comandi Ex; attraverso il comando :! ciò consente l'esecuzione arbitraria di comandi a livello di sistema operativo quando una vittima apre un file PHP appositamente creato e invoca il completamento automatico. Questo problema è stato risolto nella versione 9.2.0736.
If you want to get best quality of vulnerability data, you may have to visit VulDB.