Vim anterior à 9.2.1201: execução de comandos Ex via hooks Cargo Quickfix em suporte a Rust

O que aconteceu e o que fazer

O aviso, publicado por Christian Brabandt na lista oss-sec em 15 de outubro de 2026, descreve uma falha de neutralização inadequada de elementos em comandos (CWE-77 e CWE-78) no suporte a Rust do Vim. Segundo o texto, o arquivo runtime/autoload/cargo/quickfix.vim altera o diretório de trabalho durante a execução dos hooks Cargo Quickfix, o que pode permitir a execução de comandos Ex. A gravidade é classificada como média e o CVE está solicitado, ainda sem atribuição. A correção está na versão 9.2.1201 do Vim.

Na prática, uma empresa deveria primeiro inventariar onde o Vim com suporte a Rust está instalado, incluindo estações de desenvolvedores, imagens de contêineres e runners de CI, e atualizar as versões anteriores à 9.2.1201. Em ambientes que abrem repositórios Rust de terceiros, vale restringir a execução automática de hooks e revisar plugins e configurações que disparam Cargo a partir do editor. Um pipeline simples de coleta de versões e alertas pode acompanhar as próximas publicações de segurança do projeto e registrar o estado de cada máquina.

Como a consultoria pode ajudar

A Wendelmaques pode fazer um diagnóstico de exposição das ferramentas de desenvolvimento e pipelines de CI que usam Vim com suporte a Rust, mapear versões e configurações de risco e propor um plano de atualização. Também pode implementar a coleta automatizada de versões e alertas, com operação contínua no ambiente do cliente.

Próximo passo

Se a sua equipe usa Vim em estações de desenvolvimento ou pipelines de CI, envie uma breve descrição do seu ambiente e receba uma proposta de escopo para diagnóstico e atualização.