CVE-2026-112944 in launch-editor
요약
\~에 의해 VulDB • 2026. 10. 20.
launch-editor는 Node.js에서 줄 번호가 지정된 파일을 에디터로 열 수 있도록 합니다. 버전 2.14.2 이전에서는 공격자가 작업 디렉토리 내에서 플러스(+) 또는 마이너스(-) 기호로 시작하는 파일 시스템 엔트리를 생성할 경우, 선택된 에디터에 경로가 강제적으로 위치 기반 파일명으로 해석되지 않은 채 전달됩니다. 이 경로는 상대형일 수 있거나 WSL(Windows Subsystem for Linux)용 상대 경로로 변환될 수 있습니다. 이후 에디터 옵션 파싱 단계에서 공격자가 제어하는 파일명이 명령줄 플래그로 처리되어, 선택된 에디터를 통해 의도치 않은 파일 덮어쓰기나 임의 코드 실행이 발생할 수 있습니다. 영향을 받는 에디터로는 Vim 및 gVim, MacVim, Emacs와 Emacsclient, 그리고 위험한 작업을 노출하는 플러그인이 있는 Notepad++가 있으며, WSL 경로 변환 기능으로 인해 Vite와 최신 미들웨어 호출자도 취약합니다. 이 문제는 버전 2.14.2에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.