CVE-2026-12609

Nome do Software Vulnerável e Versões Afetadas Eclipse Theia versões 1.66.0 até 1.73.1

Descrição O backend @theia/plugin-ext expõe o endpoint HTTP /hostedPlugin/:pluginId/:path(*). O sistema resolve o caminho do arquivo solicitado usando a função path.resolve(localPath, filePath) sem verificar se o caminho resultante permanece dentro do diretório do plugin pretendido. Um invasor de rede não autenticado pode usar sequências ../ codificadas em percentual no parâmetro path para escapar do diretório e recuperar arquivos arbitrários legíveis pelo processo de backend do Theia. Como os IDs dos plugins são derivados deterministicamente do publicador e do nome, plugins integrados podem ser usados como âncoras confiáveis para este ataque.

Recomendações Atualize o Eclipse Theia para uma versão posterior à 1.73.1. Restrinja o acesso ao endpoint /hostedPlugin/:pluginId/:path(*) para minimizar o risco de recuperação não autorizada de arquivos.