Kerentanan dengan tingkat keparahan tinggi hingga kritis yang memengaruhi ekstensi Visual Studio Code (VSCode) populer yang diunduh secara kolektif lebih dari 128 juta kali dapat dieksploitasi untuk mencuri file lokal dan mengeksekusi kode dari jarak jauh.
Masalah keamanan ini berdampak pada Code Runner (CVE-2025-65715), Markdown Preview Enhanced (CVE-2025-65716), Markdown Preview Enhanced (CVE-2025-65717), dan Microsoft Live Preview (tidak ada pengidentifikasi yang ditetapkan).
Para peneliti di perusahaan keamanan aplikasi Ox Security menemukan kelemahan tersebut dan mencoba mengungkapkannya sejak Juni 2025. Namun, para peneliti mengatakan bahwa tidak ada pengelola yang merespons.
Eksekusi kode jarak jauh di IDE
Ekstensi VSCode adalah add-on yang memperluas fungsionalitas lingkungan pengembangan terintegrasi (IDE) Microsoft. Mereka dapat menambahkan dukungan bahasa, alat debugging, tema, dan fungsionalitas atau opsi penyesuaian lainnya.
Mereka berjalan dengan akses signifikan ke lingkungan pengembangan lokal, termasuk file, terminal, dan sumber daya jaringan.
Ox Security menerbitkan laporan untuk setiap kelemahan yang ditemukan dan memperingatkan bahwa mempertahankan ekstensi yang rentan dapat mengekspos lingkungan perusahaan terhadap pergerakan lateral, penyelundupan data, dan pengambilalihan sistem.
Seorang penyerang mengeksploitasi CVE-2025-65717 kerentanan kritis dalam ekstensi Live Server (lebih dari 72 juta unduhan di VSCode) dapat mencuri file lokal dengan mengarahkan target ke halaman web berbahaya.
Kerentanan CVE-2025-65715 pada ekstensi Code Runner VSCode, dengan 37 juta unduhan, memungkinkan eksekusi kode jarak jauh dengan mengubah file konfigurasi ekstensi. Hal ini dapat dicapai dengan mengelabui target agar menempelkan atau menerapkan cuplikan konfigurasi jahat di global pengaturan.json mengajukan.
Dinilai dengan skor tingkat keparahan tinggi sebesar 8,8, CVE-2025-65716 memengaruhi Peningkatan Pratinjau Penurunan Harga (8,5 juta unduhan) dan dapat dimanfaatkan untuk mengeksekusi JavaScript melalui file Markdown perusak yang berbahaya.
Peneliti Keamanan Sapi menemukan a kerentanan XSS sekali klik dalam versi Microsoft Live Preview sebelum 0.4.16. Itu dapat dieksploitasi untuk mengakses file sensitif di mesin pengembang. Ekstensi ini memiliki lebih dari 11 juta unduhan di VSCode.
Kelemahan dalam ekstensi juga berlaku untuk Cursor dan Windsurf, yang merupakan IDE alternatif yang kompatibel dengan VSCode yang didukung AI.
Laporan Ox Security menyoroti bahwa risiko yang terkait dengan pelaku ancaman yang memanfaatkan masalah ini termasuk melakukan pivot pada jaringan dan mencuri detail sensitif seperti kunci API dan file konfigurasi.
Pengembang disarankan untuk menghindari menjalankan server localhost kecuali diperlukan, membuka HTML yang tidak tepercaya saat sedang berjalan, dan menerapkan konfigurasi yang tidak tepercaya atau menempelkan cuplikan ke settings.json.
Selain itu, disarankan untuk menghapus ekstensi yang tidak perlu dan hanya memasang ekstensi dari penerbit terkemuka, sambil memantau perubahan pengaturan yang tidak terduga.
Masa depan infrastruktur TI telah tiba
Infrastruktur TI modern bergerak lebih cepat dibandingkan dengan alur kerja manual.
Dalam panduan Tines baru ini, pelajari bagaimana tim Anda dapat mengurangi penundaan manual yang tersembunyi, meningkatkan keandalan melalui respons otomatis, dan membangun serta menskalakan alur kerja cerdas di atas alat yang sudah Anda gunakan.
