平台
go
组件
github.com/coder/code-marketplace
修复版本
2.4.3
1.2.3-0.20260402184705-988440dee05f
CVE-2026-35454 描述了 github.com/coder/code-marketplace 中存在的路径遍历漏洞。该漏洞允许攻击者通过恶意 VSIX 文件在扩展目录之外写入任意文件，可能导致代码执行或数据泄露。该漏洞影响版本小于或等于 v2.4.1 的 coder/code-marketplace。已发布修复版本 1.2.3-0.20260402184705-988440dee05f。
攻击者可以利用此路径遍历漏洞，将恶意文件写入到 coder/code-marketplace 扩展目录之外的位置。这可能导致攻击者执行任意代码，例如覆盖关键配置文件或植入后门程序。此外，攻击者还可以利用此漏洞读取敏感数据，例如用户凭据或 API 密钥。由于该漏洞允许攻击者写入任意文件，因此其潜在影响范围非常广泛，可能导致系统被完全控制。类似于其他 Zip Slip 漏洞，攻击者可以精心构造 VSIX 文件，利用 filepath.Join 函数的缺陷，绕过安全检查，实现恶意目的。
目前尚无公开的漏洞利用程序 (PoC)，但该漏洞已在 2026 年 4 月 4 日公开披露。由于该漏洞的严重性和潜在影响，建议尽快采取缓解措施。该漏洞的概率评估取决于 coder/code-marketplace 的部署环境和安全措施。如果该组件在不安全的网络环境中运行，则风险较高。
Organizations utilizing github.com/coder/code-marketplace in their development environments, particularly those relying on VSIX file extensions for code or tool integration, are at risk. Environments with legacy configurations or those lacking robust input validation practices are especially vulnerable.
• linux / server:
find /opt/code-marketplace -name '*.zip' -exec grep -l '..\..' {} + | xargs ls -l• generic web:
curl -I 'http://your-code-marketplace-url/extensions/malicious.vsix' # Check for unusual response headers or file accessdisclosure
漏洞利用状态
EPSS
0.08% (24% 百分位)
CISA SSVC
最有效的缓解措施是立即升级到修复版本 1.2.3-0.20260402184705-988440dee05f 或更高版本。如果无法立即升级，可以考虑使用 Web 应用防火墙 (WAF) 或反向代理来过滤恶意 VSIX 文件。配置 WAF 规则，阻止包含 .. 序列的文件上传。此外，可以审查代码，确保所有文件路径都经过严格的验证，防止路径遍历攻击。升级后，请验证文件系统完整性，确认没有恶意文件被写入。
Actualice a la versión 2.4.2 o superior para mitigar la vulnerabilidad de deslizamiento de ruta Zip. Esta actualización corrige el problema al verificar los límites de los archivos extraídos de los archivos VSIX, evitando la escritura de archivos fuera del directorio de la extensión.
漏洞分析和关键警报直接发送到您的邮箱。
CVE-2026-35454 描述了 coder/code-marketplace 中存在的路径遍历漏洞，攻击者可以通过恶意 VSIX 文件在扩展目录外写入任意文件，可能导致代码执行或数据泄露。
如果您的系统运行 coder/code-marketplace 版本小于或等于 v2.4.1，则可能受到此漏洞的影响。
立即升级到修复版本 1.2.3-0.20260402184705-988440dee05f 或更高版本。
目前尚无公开的漏洞利用程序，但由于漏洞的严重性，建议尽快采取缓解措施。
请查阅 coder/code-marketplace 的官方安全公告或 GitHub 仓库以获取更多信息。
上传你的 go.mod 文件，立即知道是否受影响。