Open VSX Registry Stored XSS via Malicious SVG Icons ÔÇö CVE-2026-4983 (dansk)
Open VSX Registry Stored XSS via Malicious SVG Icons
Sammendrag
CVE-2026-4983 er en stored cross-site scripting (XSS) s├Ñrbarhed i Eclipse Open VSX Registry (versioner 0.1.0 til 0.34.1). Angriberen kan publicere en VS Code-udvidelse med et ondsindet SVG-ikon. N├Ñr en bruger navigerer direkte til ikon-URL'en, udf├©res scriptet i browseren.
CVSS 3.1: 4.7 (Medium) ÔÇö AV:N/AC:L/PR:L/UI:R/S:C/C:N/I:L/A:N
Hvad er vuln├®rabiliteten/exploitet omkring
Open VSX Registry gemmer udvidelsesikoner som SVG-filer uden sanitering. Filen serveres med Content-Type: image/svg+xml og uden sikkerhedsheadere som Content-Security-Policy eller Content-Disposition: attachment. Dette g├©r det muligt for en angriber at indlejre JavaScript i SVG-filen og f├Ñ det udf├©rt i offerets browser.
Ved lokal storage (f.eks. selv-hostet Open VSX) udf├©res scriptet p├Ñ applikationens oprindelsesdom├ªne, hvilket kan f├©re til en stored XSS s├Ñrbarhed.
Persian
Arabic
French
Spanish
Portuguese
Deutsch
Turkish
Dutch
Italiano
Russian
Romaian
Portuguese (Brazil)
Greek
Chinese (Simplified)
Chinese (Traditional)
Japanese
Korean
Hindi
Vietnamese
Polish
Swedish
Ukrainian
Hebrew
Thai
Indonesian
Bengali
Urdu
Persian
Tamil
Danish
Finnish
Norwegian
Czech
Hungarian
Bulgarian
Slovak
Slovenian
Lithuanian
Latvian
Estonian
Croatian
Serbian
Malay