FICHE CVE

CVE-2026-49484

Publiée le 2026-10-12 · Dernière modification le 2026-10-16

🇫🇷 EN BREF

L'extension Visual Studio Code « Code for IBM i » stocke le contenu des fichiers téléchargés et modifiés dans le répertoire partagé `/tmp` sans les supprimer correctement. Un acteur malveillant disposant d'un compte local sur le même système peut lire ces fichiers résiduels pour voler du code ou des données de configuration potentiellement sensibles. Cela nécessite que l'attaquant dispose déjà d'un accès à faibles privilèges sur la machine et qu'un utilisateur légitime ait effectué une opération de téléchargement ou de modification.

CVSS 4.05.1 MOYENNE

Type de faiblesse

CWE-377 CWE-459

Publiée2026-10-12

Dernière modification2026-10-16

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisFaibles

Interaction utilisateurPassive

Confidentialité (système vulnérable)Faible

Intégrité (système vulnérable)Faible

Disponibilité (système vulnérable)Faible

Confidentialité (système subséquent)Faible

Intégrité (système subséquent)Faible

Disponibilité (système subséquent)Faible

RÉFÉRENCES

Description officielle du NVD (en anglais)

Code for IBM i is a Visual Studio Code extension for maintaining and compiling ILE languages on the IBMi platform. Prior to 3.0.1, src/ui/views/objectBrowser.ts stores Object Browser downloads and the edit-save flow content in the shared /tmp directory without reliable cleanup. On systems where /tmp is accessible to other local accounts, file contents remain readable after download or editing operations. This issue is fixed in version 3.0.1.