A Open VSX, marketplace de extensões utilizado por forks do VS Code como Cursor e Windsurf, recentemente corrigiu uma vulnerabilidade crítica em seu pipeline de pré-publicação que permitia que extensões maliciosas bypassassem as verificações de segurança e fossem publicadas sem detecção. A vulnerabilidade, chamada "Open Sesame", resultou de uma condição de fail-open no fluxo de trabalho de escaneamento.
Detalhes Técnicos
A vulnerabilidade afetava o pipeline de pré-publicação do Open VSX, que é responsável por verificar as extensões antes de serem publicadas.
A vulnerabilidade permitia que extensões maliciosas bypassassem as verificações de segurança e fossem publicadas sem detecção.
A vulnerabilidade foi causada por uma condição de fail-open no fluxo de trabalho de escaneamento, o que significa que o sistema não estava configurado para bloquear as extensões maliciosas.
A vulnerabilidade foi corrigida pela Open VSX, que atualizou seu pipeline de pré-publicação para bloquear as extensões maliciosas.
