CVE-2026-46580
Açıklama
Eclipse Theia 1.71.0 öncesi sürümlerde, bir çalışma alanındaki .prompts/*.prompttemplate desenine uyan dosyalar otomatik olarak yükleniyor ve AI ajanının sistem istemlerini geçersiz kılabiliyor veya genişletebiliyordu. Bir saldırgan, çalışma alanı Theia içinde açıldığında AI'nın sistem talimatlarını saldırgan tarafından kontrol edilen içerikle değiştiren (.indirect prompt injection) kötü amaçlı istem şablon dosyaları içeren bir depo oluşturabilirdi. Güvenilmeyen çalışma alanlarında mevcut olan diğer AI sohbet özellikleriyle birleştiğinde bu durum; Markdown görüntü işleme yoluyla veri sızdırmaya veya görev tanımları aracılığıyla rastgele komut çalıştırılmasına yol açan saldırı zincirlerine imkan tanıyordu.
Nasıl düzeltilir
- eclipse theia1.71.0 ya da sonraki bir sürüm
- @theia/ai-chat-ui1.71.0 ya da sonraki bir sürüm
- @theia/ai-chat1.71.0 ya da sonraki bir sürüm
- @theia/ai-claude-code1.71.0 ya da sonraki bir sürüm
- @theia/ai-code-completion1.71.0 ya da sonraki bir sürüm
- @theia/ai-core1.71.0 ya da sonraki bir sürüm
- @theia/ai-editor1.71.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| eclipse theia | v < 1.71.0 | 1.71.0 |
| @theia/ai-chat-uinpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-chatnpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-claude-codenpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-code-completionnpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-corenpm | v < 1.71.0 | 1.71.0 |
| @theia/ai-editornpm | v < 1.71.0 | 1.71.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.