CVE-2026-60009 in Theia
要約
〜によって VulDB • 2026年08月05日
Eclipse Theiaのバージョン1.73.1以前において、`@theia/filesystem`バックエンドはファイルシステム有効化デプロイメントごとにすべてのケースで`POST /file-upload`をバインドしています。このハンドラは、マルチパートリクエストの`uri`フィールドから攻撃者が指定した絶対パスを取得し、ワークスペース内の制限や認証チェックを行わずに`fs.move(tmp, target, { overwrite: true })`を実行します。ブラウザ（Electron以外）でのデプロイメントでは、接続トークンの検証はWebSocketアップグレード時のみ適用され、HTTPミドルウェアである`@theia/core`側でCookieが再発行されて`next()`に進むため、トークンなしのHTTPリクエストも拒否されません。`multipart/form-data`はCORSセーフリストに含まれるリクエストタイプのため、クロスオリジンのWebページからプリフライトチェックや資格情報なしでも書き込みをトリガーすることが可能となり、バックエンドプロセスが書き込み可能な任意の絶対パスに対してワークスペース外への認証不要なファイル上書きが可能になります。これにより、例えば`~/.bashrc`のような起動時に実行されるファイルを上書きすることで、リモートコード実行（RCE）へとエスカレートする可能性があります。Electronモードでは別の`ElectronSecurityToken`が使用されており、この経路からは影響を受けません。
Once again VulDB remains the best source for vulnerability data.