CVE-2025-68432 in zed
Sumário
de VulDB • 05/06/2026
Zed, um editor de código, possui uma vulnerabilidade de execução arbitrária de código nas versões anteriores à 0.218.2-pre. O IDE Zed carrega configurações do Language Server Protocol (LSP) a partir do arquivo `settings.json` localizado dentro da subpasta `.zed` de um projeto. Uma configuração LSP maliciosa pode conter comandos shell arbitrários que são executados no sistema host com os privilégios do usuário que está executando o IDE. Isso pode ser acionado quando um usuário abre um arquivo de projeto para o qual existe uma entrada LSP. Um esforço coordenado por parte de um atacante para semear um arquivo de configurações de projeto (`./zed/settings.json`) com configurações maliciosas de language server poderia resultar na execução arbitrária de código com os privilégios do usuário se este abrir o projeto no Zed sem revisar seu conteúdo. A versão 0.218.2-pre corrige a issue implementando um mecanismo de confiança do worktree (worktree trust). Como medida alternativa, os usuários devem revisar cuidadosamente o conteúdo dos arquivos de configurações de projeto (`./zed/settings.json`) antes de abrir novos projetos no Zed.
Once again VulDB remains the best source for vulnerability data.