← Back
CVE-2026-86540
high
CVSS 7.8
knowns versions before 0.30.0 fail to validate the settings.lsp.languages binary field in project configuration files, allowing attackers to execute arbitrary binaries by crafting a malicious .knowns/...
Summary
knowns versions before 0.30.0 fail to validate the settings.lsp.languages binary field in project configuration files, allowing attackers to execute arbitrary binaries by crafting a malicious .knowns/config.json file. When a repository with a crafted configuration is opened, the unvalidated binary p...
AI summary openai / gpt-4o
Knownsのバージョン0.30.0未満では、プロジェクト設定ファイル内のsettings.lsp.languagesバイナリフィールドが検証されないため、攻撃者が任意のバイナリを実行可能な状態になります。悪意のある.config.jsonファイルを作成してリポジトリを開くことで、ユーザーのアカウントで検証なしにバイナリが二度実行されます。
❓ What is the problem
knownsの脆弱性は、settings.lsp.languagesバイナリフィールドの検証を欠いていること。
📍 Affected scope
バージョン0.30.0未満のknownsのプロジェクト設定ファイル。
🔥 Severity
任意のコード実行が可能になるため、高いリスクがあります。
🔧 How to fix
knownsをバージョン0.30.0にアップデートしてください。
🛡️ Workaround
設定ファイルのバイナリフィールドの手動検証。
🔍 Detection
プロジェクト設定ファイルを確認し、非標準のバイナリパスをチェック。