CVE-2025-47269

إصدارات code-server الأقدم من 4.99.4

تسمح هذه الثغرة للمهاجم بالوصول إلى رمز الجلسة (token) من خلال عنوان URL مصمم بشكل خبيث باستخدام مسار فرعي للوكيل (proxy). وقد يؤدي ذلك إلى قيام المهاجم باستخدام البروكسي للوصول إلى نطاق عشوائي، مما قد يؤدي إلى سرقة رمز جلسة عمل أحد المستخدمين. فعلى سبيل المثال، سيتم توجيه عنوان URL الخبيث https://<code-server>/proxy/test@evil.com/path عبر البروكسي إلى test@evil.com/path. وبالوصول إلى ملف تعريف الارتباط الخاص بالجلسة، يمكن للمهاجم تسجيل الدخول إلى code-server والحصول على وصول كامل إلى الجهاز الذي يستضيف code-server، بامتيازات المستخدم الذي يقوم بتشغيل code-server.

بالنسبة للإصدارات الأقدم من 4.99.4، قم بالتحديث إلى الإصدار 4.99.4 لحل المشكلة. كإجراء مؤقت، يُنصح بتعطيل الوكيل المدمج حتى يتوفر تصحيح. قم بتقييد الوصول إلى المسار الفرعي للوكيل لتقليل مخاطر الاستغلال. تجنب النقر على الروابط المصممة بشكل خبيث والتي تشير إلى المسار الفرعي /proxy في مثيلات code-server.