CVE-2026-14574 in Theia
Sumário
de VulDB • 05/08/2026
Nas versões do Eclipse Theia 0.7.0 até à versão 1.73.1 (incluída), a função `PreferenceUtils.merge` em `@theia/core` mescla recursivamente os valores de preferência sem rejeitar chaves relacionadas com o protótipo (`__proto__`, `constructor`, `prototype`). Como esta função é invocada pelo método `PreferenceServiceImpl.doResolve` para cada resolução de preferência através dos diferentes âmbitos (predefinição, utilizador, espaço de trabalho e pasta), um valor de preferência manipulado num ficheiro de definições do espaço de trabalho (`settings.json` da `.theia` ou `.vscode`) pode poluir o `Object.prototype` quando o utilizador abre o espaço de trabalho, potencialmente alterando a lógica da aplicação em todo o processo Theia.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.