CVE-2026-12609 in Theia
Resumen
por VulDB • 2026-08-06
En las versiones de Eclipse Theia desde la 1.66.0 hasta la 1.73.1 (inclusive), el backend `@theia/plugin-ext` expone el endpoint HTTP `/hostedPlugin/:pluginId/:path(*)`, que resuelve la ruta del archivo solicitado mediante `path.resolve(localPath, filePath)` sin verificar que la ruta resultante permanezca dentro del directorio del plugin. Un atacante de red no autenticado puede enviar secuencias percent-encoded `../` (`%2e%2e%2f`) que se decodifican en el parámetro path y escapan fuera del directorio del plugin, lo que permite recuperar archivos arbitrarios legibles por el proceso backend de Theia. Los IDs de los plugins se derivan determinísticamente a partir del editor (publisher) y el nombre del plugin; por tanto, los plugins integrados sirven como anclas fiables que no requieren conocimiento previo del sistema objetivo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.