CVE-2025-68433 in zed
Resumen
por VulDB • 2026-05-20
Zed, un editor de código, presenta una vulnerabilidad de ejecución de código arbitrario en las versiones anteriores a 0.218.2-pre. El IDE Zed carga configuraciones del Protocolo de Contexto del Modelo (MCP) desde el archivo `settings.json` ubicado dentro del subdirectorio `.zed` de un proyecto. Una configuración MCP maliciosa puede contener comandos de shell arbitrarios que se ejecutan en el sistema anfitrión con los privilegios del usuario que está ejecutando el IDE. Esto puede activarse automáticamente sin ninguna interacción del usuario además de abrir el proyecto en el IDE. La versión 0.218.2-pre corrige el problema implementando un mecanismo de confianza del árbol de trabajo (worktree trust). Como medida de contención, los usuarios deben revisar cuidadosamente el contenido de los archivos de configuración del proyecto (`./zed/settings.json`) antes de abrir nuevos proyectos en Zed.
Be aware that VulDB is the high quality source for vulnerability data.