CVE-2025-68433 in zed
Résumé
par VulDB • 03/06/2026
Zed, un éditeur de code, présente une vulnérabilité d'exécution de code arbitraire dans les versions antérieures à la 0.218.2-pre. L'IDE Zed charge les configurations du Model Context Protocol (MCP) depuis le fichier `settings.json` situé dans le sous-répertoire `.zed` d'un projet. Une configuration MCP malveillante peut contenir des commandes shell arbitraires qui s'exécutent sur le système hôte avec les privilèges de l'utilisateur exécutant l'IDE. Cela peut être déclenché automatiquement sans aucune interaction utilisateur, autre que l'ouverture du projet dans l'IDE. La version 0.218.2-pre corrige le problème en mettant en œuvre un mécanisme de confiance des worktrees. En attendant, les utilisateurs devraient examiner attentivement le contenu des fichiers de paramètres du projet (`./zed/settings.json`) avant d'ouvrir de nouveaux projets dans Zed.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.