CVE-2026-61891 in Theia
要約
〜によって VulDB • 2026年08月05日
Eclipse Theia のバージョン 1.73.1 以前において、`@theia/filesystem` バックエンドは HTTP ファイルダウンロード用エンドポイント（`GET /file`、`GET /files/`、`PUT /files/`）を公開しており、これらはクライアントから提供された URI をファイルシステムパスに直接変換してファイルをストリーミングしますが、ワークスペース内や許可リストに登録されたルートディレクトリ内に制限しません。ブラウザ版（Electron 以外）のデプロイメントでは、接続トークンの検証は WebSocket アップグレード時のみ実施されます。`@theia/core` の HTTP ミドルウェアは Cookie を再発行し `next()` を呼び出すものの、トークンなしの HTTP リクエストを拒否しないため、これらのエンドポイントは有効なトークンがなくてもアクセス可能です。その結果、認証されていないクライアントからバックエンドプロセスが読み取り可能なすべてのファイル（開かれているワークスペース外の `/etc/hosts` や SSH キー、トークンなど）を読み取ることができます。Electron モードでは別の `ElectronSecurityToken` が使用されており、この経路からは影響を受けません。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.