CVE-2026-22551
Açıklama
Eclipse Theia'nın 1.71.0 öncesindeki sürümlerinde, AI sohbeti AI yanıtlarındaki Markdown görsel etiketlerini işleyerek herhangi bir kısıtlama olmaksızın rastgele harici URL'lere HTTP istekleri tetikliyordu. Kötü niyetli bir çalışma alanındaki prompt injection ile birleştiğinde, bir saldırgan AI ajanını; çalışma alanından veya konuşma bağlamından hassas bilgileri kodlayan görsel URL'leri oluşturmaya zorlayarak bu bilgileri saldırgan kontrollü sunuculara sızdırabilirdi. v1.71.0 sürümünde getirilen çalışma alanı güven zorunluluğu, güvenilmeyen çalışma alanlarında AI özelliklerini devre dışı bırakarak belgelenen saldırı zincirini hafifletmektedir.
Nasıl düzeltilir
- eclipse theia1.71.0 ya da sonraki bir sürüm
- @theia/ai-chat-ui1.71.0 ya da sonraki bir sürüm
- @theia/ai-chat1.71.0 ya da sonraki bir sürüm
- @theia/ai-claude-code1.71.0 ya da sonraki bir sürüm
- @theia/ai-code-completion1.71.0 ya da sonraki bir sürüm
- @theia/ai-core1.71.0 ya da sonraki bir sürüm
- @theia/ai-editor1.71.0 ya da sonraki bir sürüm
- @theia/ai-ide1.71.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse theia | v < 1.71.0 | 1.71.0 |
| @theia/ai-chat-uinpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-chatnpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-claude-codenpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-code-completionnpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-corenpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-editornpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-idenpm | v < 1.71.0 | 1.71.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.