[Security] MacVim affected by GHSA-hwg5-3cxw-wvvg — OS command injection via backticks in 'path' option completion (vim < 9.2.0435)
還沒有人認領這個 Issue。
評估
- 難度
- 3/5
- 預估耗時
- 1-2 天
- 新手友好度
- 68/100
研究方向
從 src/optiondefs.h 和 src/findfile.c 開始，接著將缺少的變更與 Vim 提交 190cb3c2 或版本 9.2.0435 進行比較。確認 'path' 選項和反引號處理與上游修復一致，並使用 issue 中的 grep 檢查和攻擊情境來確認漏洞已獲得修復。
由索引模型根據 Issue 內容生成。
描述
Summary
MacVim's src/findfile.c and src/optiondefs.h allow backtick expressions in the 'path' option to be executed when file completion is triggered. Since 'path' can be set via modelines, an attacker can embed a malicious backtick command in a project file that executes when the victim uses file-path completion. The fix from vim 9.2.0435 (190cb3c2) has not been applied to macvim r183.
Vulnerability Details
- GHSA: GHSA-hwg5-3cxw-wvvg
- CVE: CVE-2026-44656
- Upstream fix (vim): 9.2.0435 (commit
190cb3c2b6e53290735f2c5cab1a06f703a90e69, 2026-05-03) - Affected code:
src/findfile.c+src/optiondefs.h('path'option) - Vulnerability type: CWE-78 — OS Command Injection
Root Cause
The 'path' option is not marked P_SECURE in src/optiondefs.h, so it can be set via modelines:
/* src/optiondefs.h line 2067 (macvim r183) */
{"path", "pa", P_STRING|P_EXPAND|P_VI_DEF|P_COMMA|P_NODUP,
Missing P_SECURE allows a modeline to set path+=\cmd`. In src/findfile.c, when file completion is performed for 'path'entries, backtick expressions are expanded via the shell — executingcmd`.
Attack Scenario
- Attacker places a project file with a modeline:
// vim: set path+=`id>/tmp/pwned` : - Victim opens the file in MacVim with modeline support enabled (default)
- MacVim sets
pathto include the backtick expression - When the victim presses
Tabfor:findcompletion, MacVim expands the backtick and executesid>/tmp/pwned
Verification
$ grep -n '"path".*P_STRING' src/optiondefs.h
2067: {"path", "pa", P_STRING|P_EXPAND|P_VI_DEF|P_COMMA|P_NODUP,
Missing P_SECURE. Also missing the backtick check in findfile.c. Patch 9.2.0435 not present:
$ git log --all --oneline | grep -i '9.2.0435\|path.*backtick\|hwg5'
(no output)
Suggested Fix
Merge vim patches up to at least 9.2.0435. The fix:
- Adds
P_SECUREto'path'inoptiondefs.h:{"path", "pa", P_STRING|P_EXPAND|P_VI_DEF|P_SECURE|P_COMMA|P_NODUP, - Adds a backtick guard in
findfile.c:/* do not expand backticks, could have been set via a modeline */ if (vim_strchr(buf, '`') != NULL) continue;
References
- 主要語言
- Vim Script
- 星號
- 7.9k
- 分支
- 691
- 平均合併
- 20 分鐘
- 30 天內合併 PR
- 4
環境準備
- 沒有 Dockerfile 或 Docker Compose 檔案
- 沒有 Pull Request 範本
- 閱讀貢獻指南
從這裡開始
- 先讀完整個 Issue，再讀專案的貢獻指南。
- 在 Issue 下留言說明你要接手 —— 這能避免兩個人做同樣的事。
- Fork 儲存庫，在一個分支上完成修改。
- 送出 Pull Request，並在描述裡引用這個 Issue 編號。
macvim-dev/macvim 的其他 Issue
-
難度 2/5 1-3 小時 新手友好度 68/100
macvim-dev/macvim#1697 · 6 則留言 ·
-
難度 2/5 1-3 小時 新手友好度 76/100
macvim-dev/macvim#1658 ·
-
難度 2/5 1-3 小時 新手友好度 76/100
macvim-dev/macvim#1657 ·
-
難度 2/5 1-3 小時 新手友好度 76/100
macvim-dev/macvim#1655 ·
-
難度 2/5 半天 新手友好度 72/100
macvim-dev/macvim#1653 ·
查看 macvim-dev/macvim 的全部 Issue
相似的 Issue
-
Local host row takes the name of an exe.dev VM when /etc/hosts aliases that VM to a loopback address未關閉
難度 2/5 1-3 小時 新手友好度 68/100
維護者通常 1 天內回覆
-
bug
難度 2/5 1-3 小時 新手友好度 79/100
joncampbell123/dosbox-x#6664 ·
維護者通常 1 天內回覆
-
app bug
難度 2/5 1-3 小時 新手友好度 76/100
-
The Outdated Version prompt shows the release tag as unescaped HTML可能已有人在做 @on8st 今天認領。 未關閉bug good first issue GUI maintainer-review priority: low
難度 2/5 1-3 小時 新手友好度 76/100
aethersdr/AetherSDR#6405 · 2 則留言 ·
維護者通常 1 天內回覆
-
難度 2/5 1-3 小時 新手友好度 74/100
維護者通常 1 天內回覆