CVE-2026-10054

Eclipse Theia-nın təsirlənmiş versiyalarında (1.8.1 və sonrakı) brauzer backend-i imtiyazlı terminal RPC-ni WebSocket üzərindən (/services/shell-terminal, /services/terminals/:id) xidmət səviyyəsində autentifikasiya olmadan açıq şəkildə təqdim edir. @theia/core-da WebSocket origin yoxlaması fail-open rejimindədir: Origin başlığı olmadıqda və ya THEIA_HOSTS icazə siyahısı konfiqurasiya edilmədikdə (defolt hal) bağlantılar qəbul edilir. Socket.IO inteqrasiyası əlavə olaraq real Origin başlığını hücumçunun idarə edə və ya buraxa biləcəyi müştəri tərəfindən təqdim edilən fix-origin başlığı ilə əvəz edir. Nəticədə, işləyən Theia instansiyası olan istifadəçinin ziyarət etdiyi xarici mənşəli veb səhifə /services WebSocket ad məkanını aça, terminal yaradılmasını çağıra, yaranan terminal məlumat kanalına qoşula, ixtiyari OS əmrlərini icra edə və onların çıxışını oxuya bilər. Bu, həm lokal developer quraşdırmalarına (drive-by hücum), həm də güclü xarici autentifikasiya olmadan hostinq və ya tunel edilmiş yerləşdirmələrə təsir edir. Defolt olaraq same-origin yoxlamasını tətbiq edən, fix-origin başlığına etimadı aradan qaldıran, HTTP və WebSocket girişini SameSite=Strict; HttpOnly bağlantı-token kukisinə əsaslanaraq məhdudlaşdıran və shell terminalının yaradılması seçimlərini təmizləyən düzəliş hazırlanır.