កំហុសឆ្គងសំខាន់ៗត្រូវបានរកឃើញនៅក្នុងផ្នែកបន្ថែមកូដ VS ចំនួនបួនដែលមានការដំឡើងជាង 125 លានដង

អ្នកស្រាវជ្រាវសន្តិសុខតាមអ៊ីនធឺណិតបានបង្ហាញពីចំណុចខ្សោយសុវត្ថិភាពជាច្រើននៅក្នុងផ្នែកបន្ថែម Microsoft Visual Studio Code (VS Code) ដ៏ពេញនិយមចំនួនបួន ដែលប្រសិនបើត្រូវបានកេងប្រវ័ញ្ចដោយជោគជ័យ វាអាចអនុញ្ញាតឱ្យអ្នកគំរាមកំហែងលួចឯកសារក្នុងស្រុក និងប្រតិបត្តិកូដពីចម្ងាយ។

ផ្នែកបន្ថែមទាំងនេះ ដែលត្រូវបានដំឡើងរួមគ្នាជាង 125 លានដង គឺ Live Server, Code Runner, Markdown Preview Enhanced និង Microsoft Live Preview។

អ្នកស្រាវជ្រាវសន្តិសុខ OX លោក Moshe Siman Tov Bustan និង Nir Zadok បាននិយាយនៅក្នុងរបាយការណ៍មួយដែលចែករំលែកជាមួយ The Hacker News ថា "ការស្រាវជ្រាវរបស់យើងបង្ហាញថា ពួក Hacker ត្រូវការផ្នែកបន្ថែមដែលមានគំនិតអាក្រក់តែមួយ ឬចំណុចខ្សោយតែមួយនៅក្នុងផ្នែកបន្ថែមមួយ ដើម្បីអនុវត្តចលនាចំហៀង និងធ្វើឱ្យខូចដល់អង្គការទាំងមូល"។

ព័ត៌មានលម្អិតនៃភាពងាយរងគ្រោះមានដូចខាងក្រោម៖

-CVE-2025-65717 (ពិន្ទុ CVSS៖ 9.1) - ភាពងាយរងគ្រោះនៅក្នុង Live Server ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារលួចយកឯកសារក្នុងស្រុក ដោយបញ្ឆោតអ្នកអភិវឌ្ឍន៍ឱ្យចូលទៅកាន់គេហទំព័រដែលមានគំនិតអាក្រក់នៅពេលដែលផ្នែកបន្ថែមកំពុងដំណើរការ បណ្តាលឱ្យ JavaScript ដែលបានបង្កប់នៅក្នុងទំព័រវារ និងទាញយកឯកសារពីម៉ាស៊ីនបម្រើ HTTP អភិវឌ្ឍន៍ក្នុងស្រុកដែលដំណើរការនៅ localhost:5500 ហើយបញ្ជូនវាទៅកាន់ដែនដែលស្ថិតនៅក្រោមការគ្រប់គ្រងរបស់ពួកគេ។ (នៅតែមិនទាន់បានជួសជុល)

-CVE-2025-65716 (ពិន្ទុ CVSS៖ 8.8) - ភាពងាយរងគ្រោះនៅក្នុង Markdown Preview Enhanced ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារប្រតិបត្តិកូដ JavaScript ដោយបំពានដោយការផ្ទុកឡើងឯកសារ markdown (.md) ដែលបង្កើតឡើង ដែលអនុញ្ញាតឱ្យមានការរាប់ច្រកក្នុងស្រុក និងការលួចយកទៅកាន់ដែនដែលស្ថិតនៅក្រោមការគ្រប់គ្រងរបស់ពួកគេ។ (នៅតែមិនទាន់បានជួសជុល)

-CVE-2025-65715 (ពិន្ទុ CVSS៖ 7.8) - ចំណុចខ្សោយមួយនៅក្នុង Code Runner ដែលអនុញ្ញាតឱ្យអ្នកវាយប្រហារប្រតិបត្តិកូដតាមអំពើចិត្តដោយបញ្ចុះបញ្ចូលអ្នកប្រើប្រាស់ឱ្យផ្លាស់ប្តូរឯកសារ "settings.json" តាមរយៈការបន្លំ ឬវិស្វកម្មសង្គម។ (នៅតែមិនទាន់បានជួសជុល)

ចំណុចខ្សោយមួយនៅក្នុង Microsoft Live Preview អនុញ្ញាតឱ្យអ្នកវាយប្រហារចូលប្រើឯកសាររសើបនៅលើម៉ាស៊ីនរបស់អ្នកអភិវឌ្ឍន៍ដោយបញ្ឆោតជនរងគ្រោះឱ្យចូលមើលគេហទំព័រដែលមានគំនិតអាក្រក់នៅពេលដែលផ្នែកបន្ថែមកំពុងដំណើរការ ដែលបន្ទាប់មកអនុញ្ញាតឱ្យសំណើ JavaScript ដែលបង្កើតឡើងជាពិសេសដែលកំណត់គោលដៅ localhost ដើម្បីរាប់ និងលុបឯកសាររសើប។ (គ្មាន CVE ជួសជុលដោយស្ងាត់ៗដោយ Microsoft នៅក្នុងកំណែ 0.4.16 ដែលចេញផ្សាយក្នុងខែកញ្ញា ឆ្នាំ 2025)