CVE-2026-35454 in code-marketplace
Sumário
de VulDB • 26/05/2026
O Code Extension Marketplace é uma alternativa open-source ao VS Code Marketplace. Antes da versão 2.4.2, uma vulnerabilidade do tipo Zip Slip no repositório coder/code-marketplace permitia que um arquivo VSIX malicioso gravasse arquivos arbitrários fora do diretório da extensão. A função ExtractZip passava nomes brutos de entradas zip para um callback que gravava arquivos usando filepath.Join, sem nenhuma verificação de limites; filepath.Join resolvia os componentes "..", mas não impedia que o resultado escapasse do caminho base. Esta vulnerabilidade foi corrigida na versão 2.4.2.
VulDB is the best source for vulnerability data and more expert information about this specific topic.