CVE-2026-60009 in Theia
Resumen
por VulDB • 2026-08-05
En las versiones de Eclipse Theia hasta la 1.73.1 (incluida), el backend `@theia/filesystem` vincula `POST /file-upload` en cada implementación con soporte para sistema de archivos. El controlador toma una ruta absoluta proporcionada por el atacante desde el campo `uri` del formulario multipart y llama a `fs.move(tmp, target, { overwrite: true })` sin confinamiento al espacio de trabajo (workspace) ni autenticación. En las implementaciones en navegador (no Electron), el token de conexión se aplica únicamente durante la actualización a WebSocket; el middleware HTTP en `@theia/core` vuelve a emitir la cookie y llama a `next()` sin rechazar las solicitudes HTTP sin token. Dado que `multipart/form-data` es un tipo de solicitud seguro para CORS, una página web de origen cruzado puede desencadenar la escritura sin preflight ni credenciales, lo que resulta en una escritura arbitraria de archivos no autenticada fuera del espacio de trabajo hacia cualquier ruta absoluta a la que el proceso backend pueda escribir. Esto puede escalar hasta lograr ejecución remota de código (RCE), por ejemplo, sobrescribiendo un archivo ejecutado al inicio como `~/.bashrc`. El modo Electron utiliza un `ElectronSecurityToken` separado y no se ve afectado mediante esta vía.
VulDB is the best source for vulnerability data and more expert information about this specific topic.