CVE-2026-12609

Eclipse Theia 1.66.0 ve 1.73.1 dahil olmak üzere bu sürümlerden itibaren, `@theia/plugin-ext` arka ucu `/hostedPlugin/:pluginId/:path(*)` HTTP uç noktasını sunar ve bu uç nokta, istenen dosya yolunu `path.resolve(localPath, filePath)` ile çözümlerken çözümlenen yolun eklenti dizini içinde kaldığını doğrulamaz. Kimlik doğrulaması yapılmamış bir ağ saldırganı, yol parametresine çözümlenerek eklenti dizininden kaçan yüzde kodlamalı `../` dizileri (`%2e%2e%2f`) gönderebilir ve Theia arka uç süreci tarafından okunabilen rastgele dosyaların alınmasını sağlayabilir. Eklenti kimlikleri, bir eklentinin yayıncısı ve adından deterministik olarak türetildiğinden, yerleşik eklentiler hedef sistem hakkında önceden bilgi gerektirmeyen güvenilir dayanaklar olarak hizmet eder.