CVE-2025-47269

code-server, tarayıcı erişimi aracılığıyla herhangi bir makinede VS Code çalıştırılmasını sağlar. Versiyon 4.99.4 öncesinde, proxy alt yolu kullanılarak kötü niyetle oluşturulmuş bir URL, saldırganın oturum belirtecine (session token) erişmesine neden olabilir. Bir proxy isteği için portun düzgün şekilde doğrulanmaması, rastgele bir domaine proxy yapılmasına yol açabilir. Kötü niyetli `https://<code-server>/proxy/[email protected]/path` URL'si, saldırganın kullanıcı oturum belirtecini sızdırabileceği `[email protected]/path` adresine yönlendirilir. Yerleşik proxy özelliği etkinleştirilmiş şekilde code-server çalıştıran ve kendi code-server örneklerine /proxy referansıyla giden kötü niyetle oluşturulmuş bağlantılara tıklayan tüm kullanıcılar bu durumdan etkilenebilir. Normalde bu özellik yerel portlara proxy yapmak için kullanılır; ancak URL bunun yerine saldırganın domainine referans verebilir ve bağlantı, çerezlerin gönderimini de içerecek şekilde söz konusu domaine yönlendirilir. Oturum çerezine erişen saldırgan, daha sonra code-server'a giriş yapabilir ve code-server'ı barındıran makineye, code-server'ı çalıştıran kullanıcı olarak tam erişim sağlayabilir. Bu sorun versiyon 4.99.4 ile düzeltilmiştir.