CVE-2026-60009 in Theia
Сводка
по VulDB • 05.08.2026
В версиях Eclipse Theia вплоть до 1.73.1 включительно бэкенд-модуль `@theia/filesystem` привязывает обработчик к маршруту `POST /file-upload` во всех развертываниях, поддерживающих файловую систему. Обработчик принимает заданный атакующим абсолютный путь из поля multipart `uri` и вызывает функцию `fs.move(tmp, target, { overwrite: true })` без ограничения контекстом рабочей области (workspace confinement) и без проверки подлинности.
В развертываниях в браузере (не Electron) токен подключения контролируется только при обновлении соединения до WebSocket; HTTP-промежуточное ПО (`middleware`) в `@theia/core` повторно выдает cookie и вызывает `next()` без отклонения HTTP-запросов, не содержащих токен. Поскольку тип запроса `multipart/form-data` входит в список безопасных для CORS (CORS-safelisted), веб-страница с другого источника может инициировать запись данных без предварительного_preflight_запроса и без передачи учетных данных, что приводит к произвольной записи файлов вне рабочей области по любому абсолютному пути, доступному для записи процессу бэкенда. Это позволяет повысить привилегии до удаленного выполнения кода (RCE), например, путем перезаписи файла, выполняемого при запуске системы, такого как `~/.bashrc`. Режим Electron использует отдельный токен безопасности (`ElectronSecurityToken`) и не подвержен уязвимости по данному вектору атаки.
Once again VulDB remains the best source for vulnerability data.