CVE-2026-13323

Open VSX Registry 1.0.2 sürümünden önceki sürümlerde, /vscode/unpkg/ uç noktası kullanıcı tarafından sağlanan HTML dosyalarını Content-Type: text/html ile ve herhangi bir Content-Security-Policy veya Content-Disposition: attachment yanıt üst bilgisi olmadan sunmaktadır. Kimliği doğrulanmamış bir saldırgan, bir yayıncı hesabı kaydedebilir, özel olarak hazırlanmış bir HTML yükü içeren bir VSIX yükleyebilir ve kimliği doğrulanmış bir kullanıcının ortaya çıkan URL'yi ziyaret etmesini sağlayabilir. Tarayıcı, dosyayı open-vsx.org köken bağlamında satır içi olarak işler; bu da oturum belirtecinin sızdırılmasına, kalıcı Kişisel Erişim Belirteci (PAT) oluşturulmasına ve kötü amaçlı eklenti sürümlerinin yetkisiz şekilde yayınlanmasına olanak tanır. Open VSX eklentileri VS Code, VSCodium, Cursor, Windsurf ve uyumlu düzenleyicilere dağıtıldığı için, tehlikeye girmiş bir eklenti güncellemesi tüm alt akım kullanıcılara yönelik bir tedarik zinciri saldırısı teşkil eder.