CVE-2026-47162

Vim açıq mənbəli, komanda sətri mətn redaktorudur. Versiya 9.2.0495-dən əvvəl, netrw plaginindəki (runtime/pack/dist/opt/netrw/autoload/netrw.vim) s:NetrwBookHistSave() funksiyasında, baxılan kataloq yollarının ~/.vim/.netrwhist tarixçə faylına seriyallaşdırılması zamanı Vimscript kodunun inyeksiyası zəifliyi mövcuddur. Fayl sistemindən götürülmüş kataloq adı, daxildəki tək dırnaq işarələri ekranlaşdırılmadan (escaping), tək dırnaqlı Vimscript sətir literalına interpolasiya edilir. Bu, xüsusi hazırlanmış kataloq adının sətir kontekstindən çıxmasına və tarixçə faylı növbəti dəfə yükləndikdə system() və :! vasitəsilə shell əmrləri də daxil olmaqla, ixtiyari Vimscript kodunun icrasına şərait yaradır. Bu problem versiya 9.2.0495-də aradan qaldırılmışdır.