CVE-2026-25931
Təsvir
vscode-spell-checker kod və sənədlərlə yaxşı işləyən əsas orfoqrafiya yoxlayıcısıdır. v4.5.4 versiyasından əvvəl DocumentSettings._determineIsTrusted konfiqurasiya dəyəri olan cSpell.trustedWorkspace-i həlledici etibar bayrağı kimi qəbul edir. Dəyər standart olaraq true (package.json) təyin edilmişdir və parametrlər hər dəfə götürüldükdə iş sahəsi (workspace) konfiqurasiyasından oxunur. Kod istənilən həqiqət (truthy) dəyərini true-ya çevirir və onu ConfigLoader.setIsTrusted funksiyasına ötürür ki, bu da öz növbəsində JavaScript/TypeScript konfiqurasiya fayllarının (.cspell.config.js/.mjs/.ts və s.) tapılmasına və icrasına şərait yaradır. Heç bir VS Code iş sahəsi etibar statusu yoxlanılmadığı üçün, etibarsız iş sahəsi bayrağı true saxlaya və zərərli .cspell.config.js faylı yerləşdirə bilər; iş sahəsinin açılması genişlənmə hostunun hücumçu tərəfindən idarə olunan Node.js kodunu istifadəçi imtiyazları ilə icra etməsinə səbəb olur. Bu boşluq v4.5.4 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| streetsidesoftware vscode-spell-checker | < 4.5.4 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.