CVE-2026-19515: выполнение команд ОС через тесты в WSO2 Integrator MI для VS Code
В расширении WSO2 Integrator: MI для Visual Studio Code обнаружена уязвимость внедрения команд операционной системы (OS Command Injection) с оценкой CVSS 7.0 (HIGH). При открытии вредоносного проекта Micro Integrator и запуске unit-тестов злоумышленник может выполнить произвольные команды в системе пользователя. Уязвимость затрагивает всех, кто работает с проектами из недоверенных источников.
Подробности
Уязвимость получила идентификатор CVE-2026-19515 и оценку CVSS 7.0, что соответствует высокому уровню критичности. Затронут продукт WSO2 Integrator: MI for Visual Studio Code. Причина уязвимости — отсутствие должной санитизации и валидации входных данных, поступающих от пользователя, в процессе обработки проектов Micro Integrator, открываемых из недоверенных источников. Это позволяет специально сформированному проекту внедрить и выполнить произвольные команды операционной системы через поток выполнения unit-тестов. Успешная эксплуатация приводит к выполнению произвольных команд ОС на той системе, где запущено расширение VS Code. Масштаб потенциального ущерба напрямую зависит от привилегий учётной записи, под которой работает VS Code: чем выше права пользователя, тем серьёзнее последствия — вплоть до полной компрометации рабочей станции или среды разработки. Важно отметить, что для эксплуатации требуются два условия со стороны пользователя: сначала необходимо предоставить доверие рабочей области (workspace trust) вредоносному проекту, а затем запустить выполнение unit-тестов. Таким образом, атака реализуется через социальную инженерию — злоумышленник должен убедить разработчика открыть и «доверить» подготовленный проект.Что делать
Основная рекомендация — как можно скорее обновить расширение WSO2 Integrator: MI для Visual Studio Code до актуальной версии, в которой устранена данная уязвимость. Сведения о конкретной исправленной версии следует уточнять у вендора WSO2. До установки обновления целесообразно придерживаться следующих мер предосторожности: — не предоставлять workspace trust проектам Micro Integrator, полученным из недоверенных или непроверенных источников; — перед открытием проекта в VS Code проверять его происхождение и содержимое, особенно конфигурации, связанные с запуском unit-тестов; — работать в VS Code под учётной записью с минимально необходимыми привилегиями, чтобы снизить потенциальный ущерб при эксплуатации; — использовать изолированные среды (контейнеры, виртуальные машины) для сборки и тестирования сторонних проектов. Также рекомендуется довести до сведения команды разработки информацию об уязвимости и установить правила работы с внешними проектами. Итог: CVE-2026-19515 — серьёзная уязвимость высокого уровня в расширении WSO2 Integrator: MI для VS Code, допускающая выполнение произвольных команд ОС при запуске unit-тестов в недоверенном проекте. Ключевая защита — своевременное обновление расширения и осторожность при предоставлении доверия рабочей области внешним проектам.Источник: CVE Project (cvelistV5)