launch-editor: escapeCmdArgs() pomija ucieczkę % w systemie Windows
Podsumowanie
launch-editor nie przetwarzał znaków ucieczki dla % w systemie Windows podczas przekazywania argumentu do cmd. Gdy zmienna środowiskowa zawierała złośliwą wartość, mogło dojść do wykonania tej zawartości.
Wpływ
Zagrożone są wyłącznie aplikacje spełniające wszystkie poniższe warunki:
- Użytkownik korzysta z systemu Windows
- Atakujący ma możliwość umieszczenia pliku ze złośliwą nazwą zawierającą
&lub% - Zachodzi co najmniej jeden z poniższych warunków:
- Atakujący może wstrzyknąć zmienną środowiskową ze złośliwą wartością
- Atakujący może dodać alternatywny strumień danych NTFS do umieszczonego pliku
Szczegóły
W przeciwieństwie do plików .sh, pliki .bat / .cmd w systemie Windows nie mogą być wywoływane bezpośrednio przy użyciu child_process.spawn i wymagają przekazania ich jako argument do cmd.exe. W tym celu launch-editor stosuje sekwencje ucieczki dla argumentów przekazywanych do cmd.exe. Jednakże launch-editor nie przetwarzał %, który jest używany dla zmiennych środowiskowych.
Ponieważ launch-editor weryfikuje, czy argument odpowiada istniejącej nazwie pliku, atak wymaga możliwości umieszczenia pliku przez atakującego.
- Jeżeli atakujący ma także możliwość wstrzyknięcia zmiennej środowiskowej, może zawrzeć podpolecenie w tej zmiennej (np. ustawić
&calc.exena%ENV%) i wywołaćlaunchEditorzsomething%ENV%. - Jeżeli atakujący może dołączyć alternatywny strumień danych NTFS do pliku (np. strumień o nazwie
~-38%calc.exe), może wywołaćlaunchEditorzsomething %CMDCMDLINE:~-38%calc.exe. - Jeżeli atakujący może utworzyć nazwę pliku zawierającą
%CD%oraz podpolecenie (np.&calc.exe), może wywołaćlaunchEditorz./%CD%.
Co trzeba zrobić
Zaktualizuj pakiet launch-editor do wersji 2.14.2 lub nowszej, vite do wersji 6.4.4, 7.3.7, 8.1.6, 8.2.4, 8.3.3 lub nowszej, bądź vite-plus do wersji 1.1.0 lub nowszej.
Czego dotyczy
Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.
| Platforma | Paczka | Podatne wersje | Poprawka w wersji |
|---|---|---|---|
| Paczka npm | launch-editor | < 2.14.2 | 2.14.2 |
| Paczka npm | vite | >= 8.3.0, < 8.3.3, >= 8.2.0, < 8.2.4, >= 8.0.0, < 8.1.6, >= 7.0.0, < 7.3.7, < 6.4.4 | 8.3.3, 8.2.4, 8.1.6, 7.3.7, 6.4.4 |
| Paczka npm | vite-plus | < 1.1.0 | 1.1.0 |
Odnośniki
- https://github.com/vitejs/launch-editor/security/advisories/GHSA-698v-4r3x-3vcv
- https://nvd.nist.gov/vuln/detail/CVE-2026-112943
- https://github.com/vitejs/launch-editor/pull/155
- https://github.com/vitejs/launch-editor/commit/3c2f9bf2ff8fe63d056a8f9cc52d825b66ca79fc
- https://github.com/vitejs/launch-editor
- https://github.com/vitejs/launch-editor/releases/tag/v2.14.2
- Wektor CVSS
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:L/VI:L/VA:L/SC:N/SI:N/SA:N- Słabość (CWE)
CWE-78- Platforma
- npm
- Paczka
launch-editor, vite, vite-plus- Ujawniono
- 20.10.2026
- Aktualizacja
- 20.10.2026 21:37
Źródła i licencje · Redakcja lub tłumaczenie: DockRay. Zachowano prawa źródeł i obowiązujące licencje.
OSV / GitHub Advisory Database - GHSA-698v-4r3x-3vcv - CC BY 4.0
Historia podatności: vite
Wszystkie opisane podatności tej paczki (Paczka npm), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.
- Wszystkich wpisów
- 24
- Pierwsza → ostatnia
- 08.2022 10.2026
- Bez poprawki
- 0
- Wykorzystywana w atakach
- 1
Rozkład istotności
- Wysoka 8
- Średnia 14
- Niska 2
Ujawnienia w latach
- 2022: 1
- 2023: 2
- 2024: 4
- 2025: 9
- 2026: 8
-
launch-editor: escapeCmdArgs() pomija ucieczkę % w systemie Windows ten wpis
Dowiedz się, które podatności dotyczą Twojej aplikacji
Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.