launch-editor : échappement incomplet des arguments de commande sous Windows

Veille sécuritéBackend & données

P4Moyenne

Sous Windows, launch-editor n’échappait pas le caractère % lors du passage d’arguments à cmd, ce qui pouvait permettre l’exécution de contenu malveillant dans des conditions nécessitant notamment qu’un attaquant puisse placer un fichier piégé. Mettez à niveau launch-editor et, le cas échéant, Vite ou vite-plus vers les versions corrigées indiquées dans l’avis.

IdentifiantCVE-2026-112943

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctiflaunch-editor 2.14.2; Vite 8.3.3, 8.2.4, 8.1.6, 7.3.7 ou 6.4.4; vite-plus 1.1.0

Source : GHSA-698v-4r3x-3vcv — GitHub Advisory Database

Analyse technique

La vulnérabilité concerne l’échappement des arguments transmis à cmd.exe pour lancer des fichiers .bat ou .cmd sous Windows. L’avis indique que l’attaque exige notamment la capacité de placer un fichier dont le nom est malveillant, ainsi qu’une condition liée à une variable d’environnement ou à un flux NTFS alternatif.

Impact, versions et correctif

Événement datéL’avis GitHub a été publié le 2026-10-20T18:30:24Z, dans la période retenue; il recense les paquets concernés et leurs versions corrigées.

ImpactDans les conditions décrites et sur Windows, le défaut peut permettre l’exécution de commandes par l’intermédiaire de cmd.exe.

Versions affectéeslaunch-editor <= 2.14.1; Vite 8.3.0–8.3.2, 8.2.0–8.2.3, 8.0.0–8.1.5, 7.0.0–7.3.6 et <= 6.4.3; vite-plus <= 1.0.0

Version corrigéelaunch-editor 2.14.2; Vite 8.3.3, 8.2.4, 8.1.6, 7.3.7 ou 6.4.4; vite-plus 1.1.0

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS6.3

Publication2026-10-20T18:30:24Z

Mise à jour2026-10-20T18:30:25Z

Action recommandée

Mettre à niveau launch-editor vers 2.14.2 et les dépendances Vite ou vite-plus vers leurs versions corrigées respectives.

Sources

Priorisation DFS : P4 · 2 source(s).