CVE-2026-25931 in vscode-spell-checker
Сводка
по VulDB • 15.05.2026
vscode-spell-checker — это базовый орфографический проверщик, который хорошо работает с кодом и документами. До версии v4.5.4 метод DocumentSettings._determineIsTrusted рассматривает значение конфигурации cSpell.trustedWorkspace как авторитетный флаг доверия. Значение по умолчанию равно true (package.json) и считывается из конфигурации рабочего пространства каждый раз при получении настроек. Код приводит любое истинное значение к true и передает его в ConfigLoader.setIsTrusted, что, в свою очередь, позволяет находить и выполнять файлы конфигурации JavaScript/TypeScript (.cspell.config.js/.mjs/.ts и т. д.). Поскольку состояние доверия к рабочему пространству VS Code не проверяется, недоверенное рабочее пространство может сохранять флаг в значении true и размещать вредоносный файл .cspell.config.js; открытие рабочего пространства приводит к тому, что хост расширения выполняет код Node.js, контролируемый злоумышленником, с привилегиями пользователя. Эта уязвимость исправлена в версии v4.5.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.