GitHub 安全公告库 (GHSA)·2026-10-21 03:48· 2 天前AI 评分50

launch-editor 在 Windows 上的 fs.existsSync() 存在性检查可被绕过

launch-editor: `fs.existsSync()` existence check can be bypassed on Windows

AI 导读

GitHub 安全公告指出，launch-editor 在把传入路径交给编辑器命令前会调用 fs.existsSync(fileName) 做检查，而在 Windows 上，攻击者可以用以 \\..:line:column 结尾的构造路径绕过该检查，从而不再需要预先放置恶意文件名。