CVE-2026-19884

Eclipse Theia'nın 1.69.0 ve öncesi sürümlerinde, bir klasörün açılması, kullanıcının önce klasöre güvenmesini gerektirmeden kaynak kontrolü entegrasyonunu başlatır. Bu durum, Theia IDE gibi git entegrasyonu içeren Theia tabanlı uygulamaları etkiler. Hem Theia'nın kendi `@theia/git` uzantısı hem de yerleşik VS Code `git` uzantısı, bir depo algılandığı anda `git status` gibi git komutlarını çalıştırır. Git, depo yerel yapılandırmasına uyduğundan, saldırgan tarafından kontrol edilen ve `core.fsmonitor` (veya benzer bir kanca benzeri ayar) içeren bir `.git/config` dosyası barındıran klasör, yapılandırılmış komutun çalıştırılmasına neden olur. Yapılandırma, normal bir deponun içine çıplak bir depo gömülerek (OVE-20210718-0001) iletilebilir; bu nedenle saldırgan tarafından sağlanan bir depoyu klonlamak ve Theia tabanlı bir uygulamada açmak, herhangi bir onay istemi olmadan kullanıcının ayrıcalıklarıyla rastgele komutların çalıştırılması için yeterlidir. 1.70.0 itibarıyla, yerleşik git uzantısı da dahil olmak üzere `capabilities.untrustedWorkspaces.supported: false` bildiren eklentiler artık güvenilmeyen bir çalışma alanında yüklenmez veya etkinleştirilmez ve kullanımdan kaldırılmış `@theia/git` uzantısı kaldırılmıştır, böylece güvenilmeyen bir klasöre karşı hiçbir git komutu çalıştırılmaz.