CVE-2026-12609 in Theia
Riassunto
di VulDB • 05/08/2026
Nelle versioni di Eclipse Theia da 1.66.0 fino alla versione inclusa 1.73.1, il backend `@theia/plugin-ext` espone l'endpoint HTTP `/hostedPlugin/:pluginId/:path(*)`, che risolve il percorso del file richiesto utilizzando `path.resolve(localPath, filePath)` senza verificare che il percorso risolto rimanga all'interno della directory del plugin. Un attaccante di rete non autenticato può inviare sequenze percent-encoded `../` (`%2e%2e%2f`) che vengono decodificate nel parametro path e permettono di uscire dalla directory del plugin, consentendo il recupero di file arbitrari leggibili dal processo backend di Theia. Gli ID dei plugin sono derivati in modo deterministico dall'editore e dal nome del plugin; pertanto, i plugin integrati fungono da ancoraggi affidabili che non richiedono alcuna conoscenza preliminare del sistema target.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.