← 返回 | CVE Intelligence

CVE-2022-41042

收录 2 篇关于 CVE-2022-41042 的安全研究、漏洞分析与攻击态势报告。

情报跨度: 2023-02-21 → 2023-02-23
分析报告: 2 篇关联分析

关联分析与时间线

Trail of Bits 演示在扩展配置正确时仍可逃逸 VSCode Webview：利用 Electron Chromium 与 VSCode 本地代码在 URL 解析上的细微差异绕过 localResourceRoots 限制，实现任意文件读取。微软已修复该问题（CVE-2022-41042）并发放 7,500 美元赏金。

逃逸配置不当的 VSCode 扩展

blog.trailofbits.com | 漏洞 | 2023-02-21 13:00 | 原文 ↗ | #vulnerability-research | #xss | #path-traversal | #vulnerability-disclosure

Trail of Bits 两部曲系列第一篇：披露微软 SARIF Viewer 与 Live Preview 两个 VSCode 扩展中的三个漏洞（HTML/JS 注入与路径遍历），可导致本地文件被窃取甚至 SSH 密钥泄露，并包含获 7,500 美元赏金的 CVE-2022-41042 缓解绕过。