CVE-2026-86022
Publiée le 2026-10-13 · Dernière modification le 2026-10-16
Les applications de prise de notes VNote sur Linux et macOS sont vulnérables à l'injection de commandes si un utilisateur ouvre un fichier de note malveillant. En incluant un guillemet double dans le nom du fichier, un attaquant peut tromper le logiciel pour l'inciter à exécuter des commandes système arbitraires avec vos permissions utilisateur via un programme externe configuré. Cela nécessite un accès local à votre système de fichiers et que vous ouvriez manuellement la note compromise.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
VNote is a note-taking platform. Prior to 4.3.0, SessionConfig::ExternalProgram::fetchCommand wraps a note path in double quotes and substitutes it into a command string that QProcess::start(const QString&) reparses into arguments through ProcessUtils::startDetached. The automatic path in src/controllers/viewareacontroller.cpp and the Open With path in src/controllers/notebooknodecontroller.cpp both reach this sink. On Linux and macOS, an attacker-controlled double quote in a POSIX note filename can terminate the quoted path and add arguments to the victim's configured external program. If the configured program supports an argument that executes commands, such as the vim or gvim -c option, the injected arguments can execute arbitrary commands as the user. This issue is fixed in version 4.3.0.