Podatności Open VSX Registry

W usłudze publikowania VSIX limitowany jest rozmiar skompresowanego pliku (ovsx.publishing.max-content-size, domyślnie 512 MB), ale nie ma limitu rozmiaru wpisu po dekompresji. WebResourceService otwiera wpis przez ZipFile.getInputStream() i kopiuje zdekompresowany strumień bez liczenia bajtów, a cache w java.io.tmpdir jest usuwany po liczbie wpisów (150), nie po rozmiarze, co pozwala wydawcy z własnym namespace zapełnić dysk tymczasowy.

W Open VSX Registry przed wersją 1.0.2 endpoint /vscode/unpkg/ serwuje pliki HTML dostarczone przez użytkownika z typem MIME text/html i bez nagłówków Content-Security-Policy ani Content-Disposition: attachment. Nieuwierzytelniony atakujący może zarejestrować konto wydawcy, przesłać rozszerzenie VSIX z złośliwym ładunkiem HTML i nakłonić uwierzytelnionego użytkownika do odwiedzenia spreparowanego URL.

Rejestr Open VSX nie sanitizuje plików SVG przesyłanych jako ikony rozszerzeń przed ich zapisaniem, co pozwala na publikację złośliwego rozszerzenia z ikoną SVG. To prowadzi do przechowywanego ataku XSS, gdy użytkownik odwiedza bezpośrednio URL ikony.