CVE-2026-10054
WysokieCVSS 8.8Streszczenie
W Eclipse Theia w wersjach 1.8.1 i nowszych, backend przeglądarki udostępnia uprzywilejowane zdalne wywołania procedur (RPC) terminala przez WebSocket bez uwierzytelniania na poziomie usługi. Walidacja pochodzenia WebSocket jest zawodna, a atakujący może przejąć kontrolę nad terminalem, wykonując dowolne polecenia systemowe.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość zdalnego wykonania kodu (RCE) przez atakującego, który może przejąć sesję terminala użytkownika, co prowadzi do naruszenia poufności, integralności i dostępności systemów.
Rekomendacja
Zaleca się natychmiastowe zastosowanie poprawki po jej wydaniu, wdrożenie uwierzytelniania na poziomie usługi oraz skonfigurowanie listy dozwolonych źródeł (THEIA_HOSTS) i ciasteczka SameSite=Strict; HttpOnly.
Oryginalny opis (angielski, źródło NVD)
In affected versions of Eclipse Theia (1.8.1 and later), the browser backend exposes privileged terminal RPC over WebSocket (/services/shell-terminal, /services/terminals/:id) without service-level authentication. WebSocket origin validation in @theia/core is fail-open: connections are accepted when the Origin header is missing or when no THEIA_HOSTS allowlist is configured (the default). The Socket.IO integration additionally replaces the real Origin header with a client-supplied fix-origin header that an attacker can control or omit. As a result, a foreign-origin web page visited by a user with a running Theia instance can open the /services WebSocket namespace, invoke terminal creation, attach to the resulting terminal data channel, execute arbitrary OS commands, and read their output. This affects both local developer setups (drive-by attack) and hosted or tunneled deployments without strong external authentication. A fix is in development that enforces same-origin validation by default, removes trust in the fix-origin header, gates HTTP and WebSocket access on a SameSite=Strict; HttpOnly connection-token cookie, and sanitizes shell terminal creation options.