Zed < 0.225.9 符号链接转义 (CVE-2026-27967)

high Nessus 插件 ID 300255

语言：

简介

远程主机上安装的代码编辑器受到符号链接转义漏洞影响。

描述

远程主机上安装的 Zed 版本低于 0.225.9。因而会受到符号链接转义漏洞的影响

- Zed 代理文件工具 (read_file、edit_file) 中存在符号链接逃逸漏洞当项目包含指向外部路径的符号链接时允许在项目目录外部读取和写入文件。这会绕过预期的工作区边界和隐私保护，可能将敏感用户数据泄漏给 LLM。 (CVE-2026-27967)

请注意，Nessus 尚未测试此问题，而是只依据应用程序自我报告的版本号进行判断。

解决方案

升级到 Zed 0.225.9 或更高版本。

另见

http://www.nessus.org/u?25ad9145

插件详情

严重性: High

ID: 300255

文件名: zed_0_225_9.nasl

版本: 1.3

类型: Local

代理: windows, macosx, unix

系列: Artificial Intelligence

发布时间: 2026/3/2

最近更新时间: 2026/3/16

支持的传感器: Nessus Agent, Nessus

风险信息

VPR

风险因素: Medium

分数: 6.0

CVSS v3

风险因素: High

基本分数: 7.1

时间分数: 6.4

矢量: CVSS:3.0/AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N

时间矢量: CVSS:3.0/E:P/RL:O/RC:C

漏洞信息

CPE: cpe:/a:zed:zed

必需的 KB 项: installed_sw/Zed

可利用: true

易利用性: Exploits are available

补丁发布日期: 2026/2/25

漏洞发布日期: 2026/2/25

参考资料信息

CVE: CVE-2026-27967