CVE-2026-25805
Publiée le 2026-02-10 · Dernière modification le 2026-06-17
Les utilisateurs de l'éditeur de code collaboratif Zed avant la version 0.219.4 sont exposés à un risque car l'application masque les paramètres spécifiques utilisés lors de l'appel d'outils, ce qui permet à un collaborateur malveillant de vous inciter à exécuter des commandes nuisibles. Un attaquant disposant de permissions de haut niveau et d'un accès réseau peut exploiter cette faille en envoyant une requête d'outil trompeuse que vous devez approuver manuellement. Comme cela nécessite un collaborateur de confiance et une interaction spécifique de l'utilisateur, la probabilité d'une attaque aléatoire est faible, mais l'impact est élevé si vous accordez la permission.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
Zed is a multiplayer code editor. Prior to 0.219.4, Zed does not show with which parameters a tool is being invoked, when asking for allowance. Further it does not show after the tool was being invoked, which parameters were used. Thus, maybe unwanted or even malicious values could be used without the user having a chance to notice it. Patched in Zed Editor 0.219.4 which includes expandable tool call details.