CVE-2026-35454
Təsvir
Code Extension Marketplace, VS Code Marketplace üçün açıq mənbəli alternativdir. 2.4.2 versiyasından əvvəl, coder/code-marketplace daxilindəki Zip Slip zəifliyi zərərli VSIX faylının genişlənmə kataloqundan kənarda ixtiyari faylların yazılmasına şərait yaradırdı. ExtractZip funksiyası xam zip giriş adlarını heç bir sərhəd yoxlaması olmadan filepath.Join vasitəsilə faylları yazan geri çağırma (callback) funksiyasına ötürürdü; filepath.Join ".. " komponentlərini həll edirdi, lakin nəticənin baza yolundan çıxmasının qarşısını almırdı. Bu zəiflik 2.4.2 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- github.com/coder/code-marketplace1.2.3-0.20260402184705-988440dee05f və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| coder code-marketplace | v ≤ 2.4.1 | — |
| github.com/coder/code-marketplaceGo | v < 1.2.3-0.20260402184705-988440dee05f | 1.2.3-0.20260402184705-988440dee05f |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.