less – Befehlsausführung über manipulierte Dateinamen

Beschreibung

less bis Version 653 erlaubt die Ausführung von Betriebssystembefehlen über ein Zeilenumbruchzeichen im Namen einer Datei, weil die Maskierung in filename.c fehlerhaft behandelt wird. Die Ausnutzung erfordert typischerweise die Verwendung mit vom Angreifer kontrollierten Dateinamen, etwa Dateien aus einem nicht vertrauenswürdigen Archiv. Sie setzt zudem die Umgebungsvariable LESSOPEN voraus, die jedoch in vielen üblichen Fällen standardmässig gesetzt ist. CVSS-Basiswert: 8.6 (Hoch).

Changelog

1. 2026-07-20 · zuletzt

   • Report neu erstellt.

Automatisch aus dem Vergleich der Datenstände erzeugt (CVSS, Schweregrad, KEV-Status, Ransomware, betroffene Produkte, EPSS-Sprünge ab 5 Prozentpunkten). Nicht redaktionell verfasst.

Betroffene Produkte

Quellen und Referenzen

• NVD (NIST) Offizieller Eintrag mit CVSS-Vektor und Referenzen
• MITRE CVE CVE-Stammsatz der MITRE Corporation
• FIRST EPSS Ausnutzungswahrscheinlichkeit der naechsten 30 Tage

Weitere Schwachstellen in Debian (DSA)

• TanStack npm-Pakete – Supply-Chain-Kompromittierung KEV CVE-2026-45321
• Linux Kernel – Incorrect Resource Transfer Between Spheres (Copy Fail) KEV CVE-2026-31431
• Apple Multiple Products – Integer Overflow oder Wraparound KEV CVE-2021-30952
• Roundcube Webmail – Deserialisierung nicht vertrauenswürdiger Daten KEV CVE-2025-49113
• Linux Kernel – Integer Overflow KEV CVE-2018-14634
• GNU InetUtils Argument Injection Vulnerability KEV CVE-2026-24061