Code Extension Marketplace: Zip Slip Path Traversal

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid kan ernstige gevolgen hebben. Een aanvaller kan een kwaadaardig VSIX-bestand uploaden dat, door de onvoldoende validatie van bestandsnamen tijdens het uitpakken, bestanden kan schrijven op locaties buiten de toegestane extensiedirectory. Dit kan leiden tot het overschrijven van kritieke systeembestanden, het installeren van malware, of het verkrijgen van ongeautoriseerde toegang tot gevoelige gegevens. De impact kan variëren afhankelijk van de configuratie van het systeem en de privileges van de gebruiker die het VSIX-bestand uitvoert. Het is vergelijkbaar met bekende Zip Slip kwetsbaarheden waarbij de bestandsnaam niet correct wordt gevalideerd voor het uitpakken van een ZIP-archief.

Organizations utilizing github.com/coder/code-marketplace in their development environments, particularly those relying on VSIX file extensions for code or tool integration, are at risk. Environments with legacy configurations or those lacking robust input validation practices are especially vulnerable.

• linux / server:

find /opt/code-marketplace -name '*.zip' -exec grep -l '..\..' {} + | xargs ls -l

• generic web:

curl -I 'http://your-code-marketplace-url/extensions/malicious.vsix' # Check for unusual response headers or file access

1. 2026-04-04Disclosure

   disclosure

1. Gereserveerd2026-04-02
2. Gepubliceerd2026-04-04
3. Gewijzigd2026-04-07
4. EPSS bijgewerkt2026-04-14

De primaire mitigatie voor CVE-2026-35454 is het upgraden van coder/code-marketplace naar versie 1.2.3-0.20260402184705-988440dee05f of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de bestandsnamen die door VSIX-bestanden worden gebruikt, of het implementeren van een WAF (Web Application Firewall) die pogingen tot het schrijven van bestanden buiten de toegestane directory blokkeert. Controleer ook de configuratie van de code-marketplace omgeving om te zorgen voor minimale privileges voor gebruikers die VSIX-bestanden kunnen uploaden. Na de upgrade, verifieer de fix door een test VSIX-bestand te uploaden dat probeert bestanden buiten de extensiedirectory te schrijven en controleer of de poging wordt geblokkeerd.