CVE-2026-59856

Nome do Software Vulnerável e Versões Afetadas Vim versões anteriores a 9.2.0736

Description O script de omni-completion de PHP em runtime/autoload/phpcomplete.vim não escapa nomes de classes ou traits extraídos do buffer editado antes de interpolá-los em um padrão search() executado via win execute(). Um invasor pode usar uma aspa simples para encerrar o argumento da string search() e utilizar o caractere de barra como um separador de comandos Ex para executar comandos Ex arbitrários. Através do comando :!, isso permite a execução arbitrária de comandos do sistema operacional quando um usuário abre um arquivo PHP especialmente criado e aciona o omni-completion.

Recommendations Atualize para a versão 9.2.0736.