Veille sécuritéBackend & données
P4Moyenne
launch-editor peut transmettre un chemin relatif commençant par « + » ou « – » comme option à certains éditeurs plutôt que comme nom de fichier. Mettre à jour vers 2.14.2; l’impact dépend de l’éditeur choisi et des conditions locales permettant de créer l’entrée de système de fichiers concernée.
Node.jsVite
IdentifiantCVE-2026-112944
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctiflaunch-editor 2.14.2
Source : Avis GitHub GHSA-r825-w8mm-5pxw
Analyse technique
L’analyse des options de Vim/gVim, MacVim, Emacs/Emacsclient ou de Notepad++ avec certains plugins peut interpréter le nom comme une option, entraînant notamment une écriture non souhaitée ou l’exécution de commandes. La conversion de chemin WSL peut maintenir l’exposition.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-20 à 15:17:17.793Z, soit 2026-10-20T17:17:17.793+02:00, dans la période retenue.
ImpactUn nom de fichier contrôlé peut déclencher le traitement d’options par l’éditeur sélectionné, avec risque d’écrasement de fichier ou d’exécution de commandes.
Versions affectéesAvant 2.14.2
Version corrigéelaunch-editor 2.14.2
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS6.3
Publication2026-10-20T17:17:17.793+02:00
Mise à jour2026-10-20T21:55:49.343+02:00
Action recommandée
Mettre à niveau launch-editor vers 2.14.2 ou une version ultérieure.
Sources
Priorisation DFS : P4 · 2 source(s).