CVE-2026-82217 in Theia
요약
\~에 의해 VulDB • 2026. 08. 31.
Eclipse Theia 버전 1.73.0부터 1.75.0 미만까지의 버전에서, AI "Agent Mode" 파일 변경 도구(writeFileContent, suggestFileContent 및 교체 및 상태 헬퍼)는 워크스페이스 포함 여부를 확인하지 않고 모델이 제공한 파일 경로를 해결했습니다. 따라서 ../.bashrc와 같은 조작된 상대 경로, 절대 경로 또는 ~ 확장 경로를 사용하여 Theia 백엔드 OS 사용자의 권한으로 워크스페이스 외부의 파일을 작성하거나 삭제할 수 있습니다. 경로 인수가 모델 출력에 의해 영향을 받기 때문에 간접 프롬프트 주입을 통해 조종될 수 있으며, Agent Mode에서는 확인 대화상자 없이 쓰기 작업이 적용됩니다. 셸 시작 파일이나 ~/.ssh/authorized_keys와 같은 호스트 실행 파일에 작성하면 백엔드에서 코드 실행으로 이어질 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.