FICHE CVE

CVE-2026-14574

Publiée le 2026-08-05 · Dernière modification le 2026-10-23

🇫🇷 EN BREF

Les versions 0.7.0 à 1.73.1 d'Eclipse Theia sont affectées par une vulnérabilité de pollution de prototype. Un attaquant peut manipuler la logique interne de l'application en plaçant un fichier de configuration spécialement conçu dans un dossier d'espace de travail. Cela nécessite que la victime ouvre manuellement cet espace de travail malveillant, mais ne requiert aucune authentification préalable ni accès réseau.

CVSS 4.05.7 MOYENNE

Type de faiblesse

Pollution de prototype · CWE-1321

Publiée2026-08-05

Dernière modification2026-10-23

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueLocal

Complexité d'attaqueFaible

Prérequis d'attaquePrésent

Privilèges requisAucun

Interaction utilisateurActive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Élevée

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Faible

RÉFÉRENCES

Description officielle du NVD (en anglais)

In Eclipse Theia versions 0.7.0 and up until including 1.73.1, the `PreferenceUtils.merge` function in `@theia/core` recursively merges preference values without rejecting prototype-related keys (`__proto__`, `constructor`, `prototype`). Because this function is invoked by `PreferenceServiceImpl.doResolve` for every preference resolution across scopes (default, user, workspace, folder), a crafted preference value in a workspace settings file (`.theia/settings.json` or `.vscode/settings.json`) can pollute `Object.prototype` when the user opens the workspace, potentially altering application logic across the Theia process.