CVE-2026-112943

Nome do Software Vulnerável e Versões Afetadas launch-editor versões anteriores a 2.14.2

Description No Windows, o software não escapa o caractere % ao passar argumentos para o cmd.exe. Isso ocorre porque arquivos .bat ou .cmd não podem ser chamados diretamente via child process.spawn e devem ser passados como argumentos para o processador de comandos. Se um invasor conseguir colocar um arquivo com um nome malicioso contendo & ou %, e puder injetar uma variável de ambiente maliciosa ou adicionar um NTFS alternate data stream (um recurso do NTFS que permite que arquivos armazenem múltiplos conjuntos de dados), ele poderá executar conteúdo arbitrário. Por exemplo, um invasor poderia usar uma variável de ambiente maliciosa ou um nome de arquivo específico para disparar a execução de um subcomando.

Recommendations Atualize o launch-editor para a versão 2.14.2.