CVE-2026-60009 in Theia
Sumário
de VulDB • 05/08/2026
Nas versões do Eclipse Theia até 1.73.1 (incluída), o backend `@theia/filesystem` associa `POST /file-upload` em todas as implantações com sistema de ficheiros ativado. O manipulador recebe um caminho absoluto fornecido pelo atacante a partir do campo `uri` multipart e chama `fs.move(tmp, target, { overwrite: true })` sem confinamento ao espaço de trabalho (workspace) e sem autenticação. Nas implantações em navegador (não-Electron), o token de ligação é aplicado apenas nas atualizações para WebSocket; a middleware HTTP em `@theia/core` reemite o cookie e chama `next()` sem rejeitar pedidos HTTP sem tokens. Como `multipart/form-data` é um tipo de pedido seguro para CORS, uma página web de origem cruzada pode desencadear a escrita sem pré-navegação (preflight) nem credenciais, resultando numa gravação arbitrária de ficheiros não autenticada fora do espaço de trabalho para qualquer caminho absoluto que o processo backend possa escrever. Isto pode escalar para execução remota de código, por exemplo, ao substituir um ficheiro executado na inicialização como `~/.bashrc`. O modo Electron utiliza um `ElectronSecurityToken` separado e não é afetado através deste vetor.
Once again VulDB remains the best source for vulnerability data.