FICHE CVE

CVE-2026-110237

Publiée le 2026-10-13 · Dernière modification le 2026-10-17

🇫🇷 EN BREF

Les gestionnaires de fichiers Vifm (versions 0.8.1-beta à 0.14.4) sont vulnérables à une attaque d'élévation de privilèges locale. Un utilisateur malveillant disposant d'un accès à un compte local peut créer au préalable un fichier temporaire spécifique qui trompe Vifm, l'incitant à exécuter des commandes shell arbitraires avec les privilèges de la personne qui lance le programme. Cela nécessite que la victime démarre Vifm alors que le fichier malveillant de l'attaquant est déjà en place, mais ne requiert aucune permission spéciale ni aucun accès réseau pour être mis en œuvre.

CVSS 4.07.0 ÉLEVÉE

Type de faiblesse

CWE-283

Publiée2026-10-13

Dernière modification2026-10-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Élevée

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

Vifm 0.8.1-beta through 0.14.4 reuses a pre-existing IPC FIFO in the shared temporary directory without checking ownership, allowing local users to execute commands as another user. Attackers can pre-create a world-writable vifm-ipc-vifm FIFO and write IPC packets with -c and ! shell commands that execute with the victim's privileges.