CVE-2026-61891
Publiée le 2026-08-05 · Dernière modification le 2026-10-24
Les déploiements d'Eclipse Theia via navigateur (jusqu'à la version 1.73.1) permettent à des utilisateurs non authentifiés de télécharger tout fichier lisible par le processus serveur, y compris des fichiers système sensibles tels que les clés SSH ou `/etc/passwd`. Un attaquant a seulement besoin d'un accès réseau au serveur pour exploiter cette faille ; aucune connexion, permission spéciale ou interaction utilisateur n'est requise. Ce risque ne s'applique pas aux installations fonctionnant en mode Electron.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
In Eclipse Theia versions up to and including 1.73.1, the `@theia/filesystem` backend exposes HTTP file-download endpoints (`GET /file`, `GET /files/`, `PUT /files/`) that convert a client-supplied URI directly to a filesystem path and stream the file, without confining it to the workspace or any allow-listed root. In browser (non-Electron) deployments the connection token is enforced only on WebSocket upgrades; the HTTP middleware in `@theia/core` re-issues the cookie and calls `next()` without rejecting tokenless HTTP requests, so these endpoints are reachable without a valid token. As a result an unauthenticated client can read any file readable by the backend process, including files outside the opened workspace (for example `/etc/hosts`, SSH keys, or tokens). Electron mode uses a separate `ElectronSecurityToken` and is not affected via this path.