CVE-2025-68432 in zed
要約
〜によって VulDB • 2026年06月02日
コードエディタ「Zed」には、バージョン 0.218.2-pre より前のバージョンにおいて、任意のコード実行の脆弱性が存在します。Zed IDE は、プロジェクトの `.zed` サブディレクトリ内にある `settings.json` ファイルから Language Server Protocol (LSP) 設定を読み込みます。悪意のある LSP 設定には、IDE を実行しているユーザーの権限でホストシステム上で実行される任意のシェルコマンドを含めることができます。これは、LSP エントリが存在するプロジェクトファイルを開いた際にトリガーされます。攻撃者がプロジェクト設定ファイル (`./zed/settings.json`) に悪意のある言語サーバー設定を仕込むことで、ユーザーが Zed でプロジェクトを開く際に内容を確認せずに開いた場合、ユーザーの権限で任意のコード実行が実行される可能性があります。バージョン 0.218.2-pre では、ワークツリー信頼メカニズムを実装することでこの問題を修正しています。回避策として、ユーザーは Zed で新しいプロジェクトを開く前に、プロジェクト設定ファイル (`./zed/settings.json`) の内容を注意深く確認する必要があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.