【误差通告】Windows Vim 路径挟制误差导致远程代码执行(CVE-2025-66476)
宣布时间 2025-12-03一、误差概述
误差名称 | Windows Vim 路径挟制误差导致远程代码执行 | ||
CVE ID | CVE-2025-66476 | ||
误差类型 | 路径挟制误差 | 发明时间 | 2025-12-3 |
误差评分 | 7.8 | 误差品级 | 高危 |
攻击向量 | 外地 | 所需权限 | 无 |
使用难度 | 低 | 用户交互 | 需要 |
PoC/EXP | 已果真 | 在野使用 | 未发明 |
Vim是一款强盛的文本编辑器 ，普遍用于程序开发和系统管理 。它基于Vi编辑器 ，提供高效的键盘操作模式 ，支持多种编程语言的语法高亮、自动补全和插件扩展 。Vim的操作基于模式切换 ，包括下令模式、插入模式和可视模式 ，用户可通过键盘快捷键举行快速编辑和文件管理 。Vim的高度可定制性和富厚的插件生态使其成为开发职员和系统管理员的首选工具之一 ，尤其适用于高效的代码编写和文本处置惩罚 。
2025年12月3日 ，尊龙凯官网入口集团VSRC监测到一个影响Vim（Windows）的误差 ，Vim在执行外手下令时（如:grep使用Windows的findstr.exe）会优先搜索目今事情目录 ，而不是系统路径 。这使得攻击者能够在项目目录中安排伪装成正当可执行文件的恶意文件（例如findstr.exe） 。当用户在Vim中执行诸如:grep或其他外手下令时 ，Vim可能无意中执行这些恶意文件 ，导致远程下令执行 。该误差不需要提升权限 ，攻击者可以使用该误差在用户系统上执行恣意代码 ，获取与Vim用户相同的权限 。
二、影响规模
Vim（Windows） < v9.1.1947
三、清静步伐
3.1 升级版本
官方已宣布修复补丁 ，以修复该误差 。
下载链接：https://www.vim.org/download.php/
3.2 暂时步伐
暂无 。
3.3 通用建议
? 按期更新系统补丁 ，镌汰系统误差 ，提升服务器的清静性 。
京公网安备11010802024551号