CVE-2026-10055

Eclipse Theia'nın 1.26.0 sürümünden itibaren, arka uçtaki /services/request-service RPC, standart /services mesajlaşma uç noktasına bağlı herhangi bir istemciden saldırgan tarafından kontrol edilen bir URL kabul eder, HTTP isteğini sunucu tarafında gerçekleştirir ve yanıt gövdesinin tamamını çağırana döndürür. Hedef URL doğrulanmadığı veya izin verilenler listesine alınmadığı için, Theia servis bağlantısına erişimi olan uzaktaki bir saldırgan; localhost'a veya arka uçtan erişilebilen diğer ana bilgisayarlara sunucu tarafı HTTP istekleri gönderebilir ve bunların yanıtlarını okuyabilir. Bu durum; dahili yönetim uç noktalarını, bulut örneği meta veri servislerini ve kasıtlı olarak tarayıcı ağ sınırının dışında tutulan diğer kaynakları açığa çıkarır. Bu güvenlik açığı, Theia servis bağlantısının güvenilmeyen kullanıcılar tarafından erişilebilir olduğu dağıtımları (örneğin, çok kiracılı veya herkese açık erişimli Theia dağıtımları) etkilemektedir.