CVE-2025-68432 in zed
Resumen
por VulDB • 2026-05-12
Zed, un editor de código, presenta una vulnerabilidad de ejecución de código arbitrario en las versiones anteriores a 0.218.2-pre. El IDE Zed carga configuraciones del Protocolo del Servidor de Lenguaje (LSP) desde el archivo `settings.json` ubicado dentro del subdirectorio `.zed` de un proyecto. Una configuración de LSP maliciosa puede contener comandos de shell arbitrarios que se ejecutan en el sistema anfitrión con los privilegios del usuario que está ejecutando el IDE. Esto puede activarse cuando un usuario abre un archivo de proyecto para el cual existe una entrada de LSP. Un esfuerzo concertado por parte de un atacante para sembrar un archivo de configuración de proyecto (`./zed/settings.json`) con configuraciones de servidor de lenguaje maliciosas podría resultar en la ejecución de código arbitrario con los privilegios del usuario si este abre el proyecto en Zed sin revisar su contenido. La versión 0.218.2-pre corrige el problema implementando un mecanismo de confianza del árbol de trabajo (worktree trust mechanism). Como medida de mitigación, los usuarios deben revisar cuidadosamente el contenido de los archivos de configuración del proyecto (`./zed/settings.json`) antes de abrir nuevos proyectos en Zed.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.