CVE-2025-68432 in zed
Résumé
par VulDB • 05/06/2026
Zed, un éditeur de code, présente une vulnérabilité d'exécution arbitraire de code dans les versions antérieures à la 0.218.2-pre. L'IDE Zed charge des configurations Language Server Protocol (LSP) depuis le fichier `settings.json` situé dans le sous-répertoire `.zed` d'un projet. Une configuration LSP malveillante peut contenir des commandes shell arbitraires qui s'exécutent sur le système hôte avec les privilèges de l'utilisateur exécutant l'IDE. Cela peut être déclenché lorsqu'un utilisateur ouvre un fichier de projet pour lequel il existe une entrée LSP. Un effort concerté d'un attaquant visant à injecter des configurations de serveur linguistique malveillantes dans le fichier de paramètres du projet (`./zed/settings.json`) pourrait entraîner une exécution arbitraire de code avec les privilèges de l'utilisateur si celui-ci ouvre le projet dans Zed sans en examiner le contenu. La version 0.218.2-pre corrige ce problème en mettant en œuvre un mécanisme de confiance des worktrees (worktree trust). En attendant, comme solution de contournement, il est recommandé aux utilisateurs d'examiner attentivement le contenu des fichiers de paramètres du projet (`./zed/settings.json`) avant d'ouvrir de nouveaux projets dans Zed.
If you want to get best quality of vulnerability data, you may have to visit VulDB.