CVE-2026-25931 in vscode-spell-checker
Riassunto
di VulDB • 19/06/2026
vscode-spell-checker è un correttore ortografico di base che funziona bene con codice e documenti. Prima della versione 4.5.4, DocumentSettings._determineIsTrusted tratta il valore di configurazione cSpell.trustedWorkspace come flag attendibile definitivo (authoritative trust flag). Il valore predefinito è true (package.json) e viene letto dalla configurazione dell'area di lavoro ogni volta che le impostazioni vengono recuperate. Il codice forza qualsiasi valore truthy a true e lo inoltra a ConfigLoader.setIsTrusted, il quale consente la localizzazione ed esecuzione di file di configurazione JavaScript/TypeScript (.cspell.config.js/.mjs/.ts, ecc.). Poiché non viene consultato alcuno stato dell'area di lavoro VS Code workspace-trust, un'area di lavoro non attendibile può mantenere il flag su true e inserire un .cspell.config.js dannoso; l'apertura dell'area di lavoro provoca l'esecuzione da parte dell'estensione host del codice Node.js controllato dall'attaccante con i privilegi dell'utente. Questa vulnerabilità è risolta nella versione 4.5.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.