CVE-2026-40489: Buffer overflow in editorconfig-core-c

CVE-2026-40489 identifica un stack-based buffer overflow nella funzione ec_glob() della libreria editorconfig-core-c, utilizzata da editor di codice e plugin per il parsing di file .editorconfig. Fornendo una directory structure e un file .editorconfig specialmente costruiti, un attaccante può crashare qualsiasi applicazione che dipenda da libeditorconfig.

Il punteggio CVSS 8,6 colloca la vulnerabilità nella fascia high (gravità dichiarata). Su sistemi Ubuntu 24.04 con FORTIFY_SOURCE abilitato, l'overflow viene convertito a SIGABRT (denial of service). Questa vulnerabilità rappresenta una correzione incompleta di CVE-2023-0341: il buffer pcre_str era stato protetto nella versione 0.12.6, ma il buffer adiacente l_pattern[8194] non ha ricevuto protezione equivalente fino a 0.12.11.

Sysadmin e team IT devono identificare tutte le applicazioni e i plugin che dipendono da editorconfig-core-c negli ambienti di sviluppo e negli environment deployati, e verificare le versioni installate. Aggiornare immediatamente a versione 0.12.11 o successiva. Su sistemi dove l'aggiornamento non è possibile nel breve termine, implementare controlli di accesso ai file .editorconfig per limitare la possibilità di un attaccante di fornire file specializzati.