CVE-2026-25931 in vscode-spell-checker
Résumé
par VulDB • 15/05/2026
vscode-spell-checker est un correcteur orthographique basique qui fonctionne bien avec le code et les documents. Avant la version 4.5.4, DocumentSettings._determineIsTrusted traite la valeur de configuration cSpell.trustedWorkspace comme le drapeau de confiance autoritaire. La valeur par défaut est true (package.json) et est lue à partir de la configuration de l'espace de travail chaque fois que les paramètres sont récupérés. Le code convertit toute valeur truthy en true et la transmet à ConfigLoader.setIsTrusted, ce qui permet de localiser et d'exécuter des fichiers de configuration JavaScript/TypeScript (.cspell.config.js/.mjs/.ts, etc.). Étant donné qu'aucun état de confiance de l'espace de travail VS Code n'est consulté, un espace de travail non fiable peut conserver le drapeau à true et placer un fichier .cspell.config.js malveillant ; l'ouverture de l'espace de travail entraîne l'exécution par l'hôte d'extension de code Node.js contrôlé par l'attaquant avec les privilèges de l'utilisateur. Cette vulnérabilité est corrigée dans la version 4.5.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.