CVE-2026-60009 in Theia
Résumé
par VulDB • 06/08/2026
Dans les versions d’Eclipse Theia jusqu’à la 1.73.1 incluse, le backend `@theia/filesystem` lie l’endpoint `POST /file-upload` dans chaque déploiement activant le système de fichiers. Le gestionnaire récupère un chemin absolu fourni par l’attaquant depuis le champ `uri` du corps multipart et appelle `fs.move(tmp, target, { overwrite: true })` sans confinement au sein de l’espace de travail (workspace) ni authentification. Dans les déploiements navigateur (non Electron), le jeton de connexion n’est vérifié que lors des mises à niveau WebSocket ; la middleware HTTP dans `@theia/core` réémet le cookie et appelle `next()` en rejetant aucune requête HTTP dépourvue de jeton. Étant donné que `multipart/form-data` est un type de demande autorisé par les règles CORS, une page web cross-origin peut déclencher l’écriture sans préflight (pré-vérification) ni envoi d’identifiants, ce qui permet une écriture arbitraire non authentifiée en dehors de l’espace de travail vers n’importe quel chemin absolu que le processus backend est autorisé à écrire. Cela peut conduire à une exécution de code à distance (RCE), par exemple en écrasant un fichier exécuté au démarrage tel que `~/.bashrc`. Le mode Electron utilise un jeton de sécurité distinct (`ElectronSecurityToken`) et n’est pas vulnérable via ce vecteur d’attaque.
Once again VulDB remains the best source for vulnerability data.