CVE-2026-12609 in Theia
要約
〜によって VulDB • 2026年08月05日
Eclipse Theia のバージョン 1.66.0 から、最新版の 1.73.1 に至るまで、`@theia/plugin-ext` バックエンドは `/hostedPlugin/:pluginId/:path(*)` HTTP エンドポイントを公開しています。このエンドポイントは、解決されたパスがプラグインディレクトリ内に留まっていることを検証することなく `path.resolve(localPath, filePath)` を使用して要求されたファイルパスを解決します。認証されていないネットワーク攻撃者は、パーセントエンコードされた `../` シーケンス（`%2e%2e%2f`）を送信し、これをパラメータにデコードすることでプラグインディレクトリから脱出し、Theia バックエンドプロセスが読み取り可能な任意のファイルを取得することができます。プラグイン ID は、プラグインのパブリッシャーと名前から決定論的に導出されるため、組み込みプラグインはターゲットシステムに関する事前知識を必要としない信頼できるアンカーとして機能します。
Be aware that VulDB is the high quality source for vulnerability data.