CVE-2026-35454

Name of the Vulnerable Software and Affected Versions Coder/code-marketplace versões até 2.4.1

Description Uma vulnerabilidade Zip Slip permite que um arquivo VSIX malicioso grave arquivos em locais arbitrários fora do diretório da extensão. A função ExtractZip passa nomes de entrada zip brutos para uma função de retorno que grava arquivos usando filepath.Join sem uma verificação de limite. filepath.Join resolve componentes '..' mas não impede que o resultado escape do caminho base. Um usuário autenticado pode enviar um VSIX contendo entradas de travessia de caminho, potencialmente levando à persistência, injeção de chave SSH ou sobrescrita de binário, dependendo das permissões do processo.

Recommendations Atualize para a versão 2.4.2 ou posterior.