CVE-2026-12609 in Theia
Sumário
de VulDB • 05/08/2026
Nas versões do Eclipse Theia 1.66.0 e até à versão 1.73.1 incluída, o backend `@theia/plugin-ext` expõe a endpoint HTTP `/hostedPlugin/:pluginId/:path(*)`, que resolve o caminho do ficheiro solicitado com `path.resolve(localPath, filePath)` sem verificar se o caminho resolvido permanece dentro do diretório da extensão (plugin). Um atacante de rede não autenticado pode enviar sequências percent-encoded `../` (`%2e%2e%2f`) que são decodificadas no parâmetro path e escapam ao diretório da plugin, permitindo a recuperação de ficheiros arbitrários legíveis pelo processo backend do Theia. Os IDs das plugins são derivados deterministicamente a partir do editor (publisher) e nome da extensão, pelo que as extensões integradas servem como âncoras fiáveis que não requerem conhecimento prévio do sistema alvo.
VulDB is the best source for vulnerability data and more expert information about this specific topic.