CVE-2026-60009

Eclipse Theia'nın 1.73.1 ve öncesi sürümlerinde, `@theia/filesystem` arka ucu, dosya sistemi etkinleştirilmiş her dağıtımda `POST /file-upload` isteğini bağlar. İşleyici, multipart `uri` alanından saldırgan tarafından sağlanan mutlak bir yolu alır ve çalışma alanı sınırlaması ve kimlik doğrulama olmaksızın `fs.move(tmp, target, { overwrite: true })` çağrısını yapar. Tarayıcı (Electron dışı) dağıtımlarında bağlantı belirteci yalnızca WebSocket yükseltmelerinde uygulanır; `@theia/core` içindeki HTTP ara katmanı çerezi yeniden düzenler ve belirteçsiz HTTP isteklerini reddetmeden `next()` çağrısını yapar. `multipart/form-data` CORS tarafından güvenli kabul edilen bir istek türü olduğundan, siteler arası bir web sayfası ön kontrol ve kimlik bilgisi olmadan yazmayı tetikleyebilir; bu da çalışma alanı dışında, arka uç sürecinin yazabildiği herhangi bir mutlak yola kimlik doğrulaması olmadan rastgele dosya yazılmasına yol açar. Bu durum, örneğin `~/.bashrc` gibi başlangıçta çalıştırılan bir dosyanın üzerine yazılarak uzaktan kod çalıştırmaya yükseltilebilir. Electron modu ayrı bir `ElectronSecurityToken` kullanır ve bu yoldan etkilenmez.