Résumé
Vulnérabilité dans Kakoune (CVE-2026-48120). L'exploitation peut entraîner la prise de contrôle totale du système. Exploitable via autorestore.kak.
Description d'origine
La description telle que publiée par la source (souvent en anglais).
Kakoune is a code editor. Prior to version 2026.05.21, the bundled, enabled by default, autorestore.kak script can be exploited by malicious backup files leading to arbitrary kakoune and shell commands being executed by simply opening a file. Kakoune 2026.05.21 fixes the issue. As a workaround, add autorestore-disable to the user kakrc will disable the autorestore feature.
Source: NIST National Vulnerability Database NVD
Résumé IA
Rédigé par une IA externe ; il peut contenir des erreurs. Vérifiez la description d'origine et les références ci-dessous avant d'agir.
Une vulnérabilité référencée CVE-2026-48120 a été découverte dans kakoune.
Des attaquants peuvent cibler un point d'entrée spécifique comme autorestore.kak à distance pour détourner le produit.
L'exploitation peut entraîner la prise de contrôle totale du système. Score CVSS : 8.6/10.
Action : appliquez le correctif officiel de l'éditeur.
En cas de doute, contactez votre service informatique ou cherchez « kakoune CVE-2026-48120 » sur le site de l'éditeur.
CVE-2026-48120 (kakoune) — CWE-74 / CVSS v3 8.6
Vecteur d'attaque : local / non authentifié
Surface d'attaque : autorestore.kak
Versions affectées : <2026.05.21
Contournement : Add autorestore-disable to the user kakrc will disable the autorestore feature.
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.
Kakouneのデフォルトスクリプトautorestore.kakが悪意のあるバックアップファイルにより任意のコマンド実行に利用される。
Kakouneコードエディタ（バージョン2026.05.21未満）
悪用されると、単純なファイル開封により任意のコードが実行できるため重大。
2026.05.21にアップデートする。
ユーザーkakrcにautorestore-disableを追加し、autorestore機能を無効化する。
影響を受けているかどうかを確認するには、autorestore.kakの設定を確認する。
État des correctifs par distribution
Paquets corrigés publiés par chaque distribution pour cette CVE
- Debian DEBIAN-CVE-2026-48120 kakoune
- Ubuntu UBUNTU-CVE-2026-48120 kakoune