代码扩展市场: Zip Slip 路径遍历
平台
go
组件
github.com/coder/code-marketplace
修复版本
2.4.3
1.2.3-0.20260402184705-988440dee05f
CVE-2026-35454 描述了 github.com/coder/code-marketplace 中存在的路径遍历漏洞。该漏洞允许攻击者通过恶意 VSIX 文件在扩展目录之外写入任意文件，可能导致代码执行或数据泄露。该漏洞影响版本小于或等于 v2.4.1 的 coder/code-marketplace。已发布修复版本 1.2.3-0.20260402184705-988440dee05f。
检测此 CVE 是否影响你的项目
上传你的 go.mod 文件，立即知道是否受影响。
影响与攻击场景
攻击者可以利用此路径遍历漏洞，将恶意文件写入到 coder/code-marketplace 扩展目录之外的位置。这可能导致攻击者执行任意代码，例如覆盖关键配置文件或植入后门程序。此外，攻击者还可以利用此漏洞读取敏感数据，例如用户凭据或 API 密钥。由于该漏洞允许攻击者写入任意文件，因此其潜在影响范围非常广泛，可能导致系统被完全控制。类似于其他 Zip Slip 漏洞，攻击者可以精心构造 VSIX 文件，利用 filepath.Join 函数的缺陷，绕过安全检查，实现恶意目的。
利用背景
目前尚无公开的漏洞利用程序 (PoC)，但该漏洞已在 2026 年 4 月 4 日公开披露。由于该漏洞的严重性和潜在影响，建议尽快采取缓解措施。该漏洞的概率评估取决于 coder/code-marketplace 的部署环境和安全措施。如果该组件在不安全的网络环境中运行，则风险较高。
哪些人处于风险中翻译中…
Organizations utilizing github.com/coder/code-marketplace in their development environments, particularly those relying on VSIX file extensions for code or tool integration, are at risk. Environments with legacy configurations or those lacking robust input validation practices are especially vulnerable.
检测步骤翻译中…
• linux / server:
find /opt/code-marketplace -name '*.zip' -exec grep -l '..\..' {} + | xargs ls -l• generic web:
curl -I 'http://your-code-marketplace-url/extensions/malicious.vsix' # Check for unusual response headers or file access攻击时间线
- Disclosure
disclosure
威胁情报
漏洞利用状态
EPSS
0.08% (24% 百分位)
CISA SSVC
受影响的软件
弱点分类 (CWE)
时间线
- 已保留
- 发布日期
- 修改日期
- EPSS 更新日期
缓解措施和替代方案
最有效的缓解措施是立即升级到修复版本 1.2.3-0.20260402184705-988440dee05f 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 或反向代理来过滤恶意 VSIX 文件。配置 WAF 规则，阻止包含 .. 序列的文件上传。此外，可以审查代码，确保所有文件路径都经过严格的验证，防止路径遍历攻击。升级后，请验证文件系统完整性，确认没有恶意文件被写入。
修复方法翻译中…
Actualice a la versión 2.4.2 o superior para mitigar la vulnerabilidad de deslizamiento de ruta Zip. Esta actualización corrige el problema al verificar los límites de los archivos extraídos de los archivos VSIX, evitando la escritura de archivos fuera del directorio de la extensión.
CVE 安全通讯
漏洞分析和关键警报直接发送到您的邮箱。
常见问题
什么是 CVE-2026-35454 — 路径遍历漏洞在 coder/code-marketplace 中?
CVE-2026-35454 描述了 coder/code-marketplace 中存在的路径遍历漏洞，攻击者可以通过恶意 VSIX 文件在扩展目录外写入任意文件，可能导致代码执行或数据泄露。
我是否受到 CVE-2026-35454 在 coder/code-marketplace 中影响?
如果您的系统运行 coder/code-marketplace 版本小于或等于 v2.4.1，则可能受到此漏洞的影响。
我如何修复 CVE-2026-35454 在 coder/code-marketplace 中?
立即升级到修复版本 1.2.3-0.20260402184705-988440dee05f 或更高版本。
CVE-2026-35454 是否正在被积极利用?
目前尚无公开的漏洞利用程序，但由于漏洞的严重性，建议尽快采取缓解措施。
在哪里可以找到官方 coder/code-marketplace 关于 CVE-2026-35454 的公告?
请查阅 coder/code-marketplace 的官方安全公告或 GitHub 仓库以获取更多信息。