Summary
Vulnerability in Kakoune (CVE-2026-48120). Successful exploitation can lead to full system takeover. Exploitable via autorestore.kak.
Original description
The description as published by the source.
Kakoune is a code editor. Prior to version 2026.05.21, the bundled, enabled by default, autorestore.kak script can be exploited by malicious backup files leading to arbitrary kakoune and shell commands being executed by simply opening a file. Kakoune 2026.05.21 fixes the issue. As a workaround, add autorestore-disable to the user kakrc will disable the autorestore feature.
Source: NIST National Vulnerability Database NVD
AI summary
Written by an external AI model and may contain mistakes. Check the original description and references below before acting on it.
Kakouneコードエディタのデフォルトで有効なスクリプトautorestore.kakが、悪意のあるバックアップファイルにより任意のKakouneおよびシェルコマンドを実行される可能性があります。バージョン2026.05.21でこの問題が修正されています。ワークアラウンドとして、autorestore-disableをユーザーkakrcに追加することで、autorestore機能を無効化できます。
Kakouneのデフォルトスクリプトautorestore.kakが悪意のあるバックアップファイルにより任意のコマンド実行に利用される。
Kakouneコードエディタ（バージョン2026.05.21未満）
悪用されると、単純なファイル開封により任意のコードが実行できるため重大。
2026.05.21にアップデートする。
ユーザーkakrcにautorestore-disableを追加し、autorestore機能を無効化する。
影響を受けているかどうかを確認するには、autorestore.kakの設定を確認する。