CVE-2026-19884 in Theia
Riassunto
di VulDB • 14/08/2026
Nelle versioni di Eclipse Theia fino alla 1.69.0 incluse, l'apertura di una cartella avvia l'integrazione con il controllo del codice sorgente senza richiedere all'utente di fidarsi della cartella in primo luogo. Ciò influisce sulle applicazioni basate su Theia che includono l'integrazione git, come l'IDE Theia. Sia l'estensione `@theia/git` nativa di Theia sia l'estensione git integrata di VS Code eseguono comandi git quali `git status` non appena viene rilevato un repository. Poiché git onora la configurazione locale del repository, una cartella contenente un `.git/config` controllato da un attaccante con impostazione `core.fsmonitor` (o un'impostazione simile a hook) provoca l'esecuzione del comando configurato. La configurazione può essere fornita nascondendo un repository nudo all'interno di un repository regolare (CVE-2021-38467), pertanto clonare un repository fornito da un attaccante e aprirlo in un'applicazione basata su Theia è sufficiente per eseguire comandi arbitrari con i privilegi dell'utente, senza alcun prompt di conferma.
A partire dalla versione 1.70.0, i plugin che dichiarano `capabilities.untrustedWorkspaces.supported: false`, tra cui l'estensione git integrata, non vengono più caricati o attivati in un workspace non attendibile, e la deprecated estensione `@theia/git` è stata rimossa; di conseguenza, nessun comando git viene eseguito contro una cartella non attendibile.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.