Vim anterior à 9.2.1201: execução de comandos Ex por hooks Cargo Quickfix
Aviso de segurança de gravidade média: uma neutralização inadequada no suporte a Rust do Vim pode permitir a execução de comandos Ex por meio dos hooks Cargo Quickfix. O CVE foi solicitado, mas ainda não atribuído.
Segundo o aviso publicado na lista oss-sec em 15 de outubro de 2026 pelo mantenedor do projeto, versões do Vim anteriores à 9.2.1201 são afetadas por uma falha de neutralização inadequada de elementos em comandos. O problema está no suporte a Rust, no arquivo runtime/autoload/cargo/quickfix.vim, que altera o diretório de trabalho ao lidar com hooks do Cargo Quickfix. Isso pode permitir a execução de comandos Ex.
O aviso classifica a gravidade como média e registra as classificações CWE-77 e CWE-78. A identificação CVE foi solicitada, mas ainda não atribuída no momento da publicação. O texto disponível para este registro está truncado, por isso detalhes como condições de exploração e mitigações devem ser verificados no aviso original.
A relevância para a Rota Nacional é indireta. A plataforma não corrige nem protege editores ou ferramentas locais e não resolve a falha. Para quem usa IA para estudar o aviso ou planejar a atualização, a recomendação é não colar configurações internas, caminhos de rede, repositórios privados ou credenciais nos prompts. A detecção automática de dados pessoais ajuda em alguns casos, mas não substitui a remoção manual de segredos antes do envio.