CVE-2026-82217

Eclipse Theia versiya 1.73.0-dan 1.75.0-a qədər olan versiyalarda, AI "Agent Mode" fayl dəyişikliyi alətləri (writeFileContent, suggestFileContent və əvəzləmə və vəziyyət köməkçiləri), model tərəfindən təmin edilən fayl yolunu iş sahəsi daxilliyi yoxlaması olmadan həll edirdi. Buna görə də, ../.bashrc kimi hazırlanmış nisbi yol, mütləq yol və ya ~ ilə genişləndirilmiş yol, Theia backend ƏS istifadəçisinin imtiyazları ilə iş sahəsindən kənardakı faylları yaza və ya silə bilərdi. Yol arqumenti model çıxışından təsirləndiyi üçün, o, dolayı prompt inyeksiyası vasitəsilə yönləndirilə bilər və Agent Mode rejimində yazma əməliyyatları təsdiq dialoqu olmadan tətbiq edilir. Shell startap faylı və ya ~/.ssh/authorized_keys kimi hostda icra olunan fayla yazı yazılması, backend-də kodun icrasına səbəb ola bilər.