CVE-2025-68433 in zed
Tóm tắt
Bởi VulDB • 31/05/2026
Zed, một trình soạn thảo mã nguồn, có lỗ hổng thực thi mã tùy ý (arbitrary code execution) trong các phiên bản trước 0.218.2-pre. Zed IDE tải các cấu hình Model Context Protocol (MCP) từ tệp `settings.json` nằm trong thư mục con `.zed` của dự án. Một cấu hình MCP độc hại có thể chứa các lệnh shell tùy ý sẽ được thực thi trên hệ thống chủ với đặc quyền của người dùng đang chạy IDE. Lỗ hổng này có thể được kích hoạt tự động mà không cần bất kỳ tương tác nào từ người dùng, ngoại trừ việc mở dự án trong IDE. Phiên bản 0.218.2-pre khắc phục sự cố bằng cách triển khai cơ chế tin cậy worktree. Như một giải pháp tạm thời, người dùng nên xem xét cẩn thận nội dung của các tệp cài đặt dự án (`./zed/settings.json`) trước khi mở các dự án mới trong Zed.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.