CVE-2026-110237— Vifm 0.8.1-beta至0.14.4 未验证IPC FIFO权限导致跨用户命令执行漏洞
一分钟漏洞结论
影响对象
vifm vifm
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Vifm 0.8.1-beta 至 0.14.4 版本在共享临时目录中重用已有的 IPC（进程间通信）FIFO（命名管道）时，未检查其所有权，导致本地用户能够以其他用户的身份执行命令。攻击者可以预先创建一个全局可写的 vifm-ipc-vifm FIFO，并通过 和 shell 命令写入 IPC 数据包，从而以受害用户的权限执行相应命令。
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-110237 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Vifm 0.8.1-beta through 0.14.4 Unverified IPC FIFO Ownership Allows Cross-User Command Execution
来源: CVE Program / CVE List V5
Vulnerability Description
Vifm 0.8.1-beta through 0.14.4 reuses a pre-existing IPC FIFO in the shared temporary directory without checking ownership, allowing local users to execute commands as another user. Attackers can pre-create a world-writable vifm-ipc-vifm FIFO and write IPC packets with -c and ! shell commands that execute with the victim's privileges.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:3.1/AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H
来源: CVE Program / CVE List V5
Vulnerability Type
未经验证的属主
来源: CVE Program / CVE List V5
受影响产品
二、漏洞 CVE-2026-110237 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-110237 的情报信息
请登录查看更多情报信息。
CVE-2026-110237 其他参考 (5)
-
https://hackmd.io/@1ExmmukzRMWN7B4gQ4W-4Q/SkX7Pmiofg third-party-advisory
-
https://github.com/vifm/vifm/blob/v0.14.4/src/ipc.c#L394-L443 technical-description
-
https://github.com/vifm/vifm/blob/v0.14.4/src/ipc.c#L866-L874 technical-description
-
https://github.com/vifm/vifm/releases/tag/v0.14.4 release-notes
IV. Related Vulnerabilities
V. Comments for CVE-2026-110237
暂无评论