CVE-2026-62848

Nome do Software Vulnerável e Versões Afetadas Metalama versões 2023.0.101-rc até 2025.1.17 Metalama versões 2026.0.x até 2026.0.24 Metalama versões 2026.1.0 até 2026.1.18 Extensão Metalama + PostSharp versões 2024.1 até 2026.1.4 Extensão Metalama (versões afetadas não especificadas) Extensão Caravela (versões afetadas não especificadas)

Descrição A integração com o Windows Visual Studio desserializa mensagens de pipes nomeados locais sem restringir quais tipos do Common Language Runtime (CLR) podem ser instanciados. O pipe afetado conecta o devenv, o processo de análise de código Roslyn fora do processo, e o processo CodeLens, utilizando um formato de nome previsível Metalama {role} {processId} {hash(PackageVersion)}. Em versões até 2026.0.x, o sistema utiliza Newtonsoft.Json com TypeNameHandling.All, onde a função BindToType resolve tipos arbitrários sem uma lista de permissões. As versões 2026.1.0 a 2026.1.18 utilizam MessagePack sem tipo com TypelessObjectResolver, que também permite a instanciação de tipos arbitrários. Um processo local executado sob a mesma conta de usuário pode enviar mensagens manipuladas para o pipe para alcançar a execução de código arbitrário dentro do processo do Visual Studio afetado. Compilações apenas via linha de comando e MSBuild não são afetadas.

Recomendações Atualize o Metalama para as versões 2025.1.18, 2026.0.25 ou 2026.1.19. Atualize a extensão Metalama + PostSharp para a versão 2026.1.5. Remova ou migre a extensão Metalama aposentada. Remova ou migre a extensão Caravela aposentada.