CVE-2026-112944
Publiée le 2026-10-20 · Dernière modification le 2026-10-20
Le package Node.js `launch-editor`, version 2.14.1 et antérieures, est utilisé pour ouvrir des fichiers dans l'éditeur de texte du système. La faille survient lorsqu'un nom de fichier commence par un signe plus ou moins, que le package ne parvient pas à assainir avant de le transmettre à l'éditeur. Cela conduit des éditeurs comme Vim, Emacs ou Notepad++ à confondre le nom du fichier avec une option de ligne de commande plutôt qu'avec un chemin d'accès.
Un attaquant peut utiliser cela pour exécuter des commandes arbitraires ou écraser des fichiers, bien que l'impact soit limité aux privilèges de l'utilisateur exécutant l'application. L'exploitation nécessite que l'attaquant puisse d'abord créer un fichier portant un nom spécifique dans le répertoire de travail de l'application. Une fois ce fichier créé, l'attaque peut être déclenchée via le réseau sans nécessiter d'authentification ni d'interaction de l'utilisateur.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
launch-editor allows users to open files with line numbers in editor from Node.js. Prior to 2.14.2, when an attacker can create a filesystem entry beginning with plus or minus in the working directory, an affected editor is selected, and the path can remain relative or is converted to a relative WSL path, launchEditor forwards the path without forcing it to be interpreted as a positional filename. Editor option parsing then treats the attacker-controlled filename as a command-line flag, which can cause unintended file overwrite or arbitrary command execution by the selected editor. The affected editors are Vim and gVim, MacVim, Emacs and Emacsclient, and Notepad++ when a plugin exposes dangerous operations; WSL path conversion keeps Vite and newer middleware callers exposed. This issue is fixed in version 2.14.2.