CVE-2026-14574 in Theia
الملخص
بحسب VulDB • 05/08/2026
في إصدارات Eclipse Theia بدءًا من 0.7.0 وحتى الإصدار 1.73.1 (بما في ذلك)، تقوم دالة `PreferenceUtils.merge` الموجودة داخل الحزمة `@theia/core` بدمج قيم التفضيلات بشكل تكراري دون رفض المفاتيح المرتبطة بالنموذج الأولي (`__proto__`, `constructor`, `prototype`). ونظرًا لأن هذه الدالة يتم استدعاؤها بواسطة `PreferenceServiceImpl.doResolve` عند حل كل تفضيل عبر النطاقات المختلفة (الافتراضي، المستخدم، مساحة العمل، المجلد)، فإن قيمة تفضيلات مُعدّة بشكل خبيث في ملف إعدادات مساحة العمل (`settings.json` الخاص بـ `.theia` أو `.vscode`) يمكن أن تلوث `Object.prototype` عند فتح المستخدم لمساحة العمل، مما قد يؤدي إلى تغيير منطق التطبيق عبر عملية Theia.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.