CVE-2026-60009

Eclipse Theia-nın 1.73.1 daxil olmaqla daha əvvəlki versiyalarında, `@theia/filesystem` backend-i fayl sistemi aktiv olan hər bir tətbiqdə `POST /file-upload` sorğusunu bağlayır. Handler, multipart `uri` sahəsindən hücum edən tərəf tərəfindən təmin edilən mütləq yolu götürür və iş sahəsi məhdudiyyəti və autentifikasiya olmadan `fs.move(tmp, target, { overwrite: true })` funksiyasını çağırır. Brauzer (non-Electron) tətbiqlərində bağlantı tokeni yalnız WebSocket yeniləmələri zamanı tətbiq edilir; `@theia/core`-dakı HTTP middleware-i kukini yenidən buraxır və tokensiz HTTP sorğularını rədd etmədən `next()` funksiyasını çağırır. `multipart/form-data` CORS-safe siyahısına daxil olan sorğu növü olduğu üçün, kross-domen veb səhifəsi heç bir preflight və ya kimlik məlumatları olmadan yazma əməliyyatını tetikləyə bilər ki, bu da backend prosesinin yaza bildiyi istənilən mütləq yola, iş sahəsindən kənarda, autentifikasiyasız ixtiyari fayl yazılmasına gətirib çıxarır. Bu, məsələn, `~/.bashrc` kimi start zamanı icra olunan faylın üzərinə yazılmaqla uzaqdan kodun icrasına səbəb ola bilər. Electron rejimi ayrıca `ElectronSecurityToken` istifadə edir və bu yol vasitəsilə təsirə məruz qalmır.