CVE-2026-35454
Açıklama
Code Extension Marketplace, VS Code Marketplace için açık kaynaklı bir alternatiftir. 2.4.2 sürümünden önce, coder/code-marketplace üzerindeki Zip Slip zafiyeti, kötü niyetli bir VSIX dosyasının uzantı dizini dışına rastgele dosyalar yazmasına izin veriyordu. ExtractZip, ham zip giriş isimlerini herhangi bir sınır kontrolü olmaksızın filepath.Join aracılığıyla dosyaları yazan bir geri çağırma işlemine aktarıyordu; filepath.Join, .. bileşenlerini çözümlüyor ancak sonucun temel yoldan çıkmasını engellemiyordu. Bu zafiyet 2.4.2 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/coder/code-marketplace1.2.3-0.20260402184705-988440dee05f ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| coder code-marketplace | v ≤ 2.4.1 | — |
| github.com/coder/code-marketplaceGo | v < 1.2.3-0.20260402184705-988440dee05f | 1.2.3-0.20260402184705-988440dee05f |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.