Visual Studio Code: Server-side Request Forgery mit Umgehung einer Sicherheitsfunktion

Zusammenfassung

Eine Server-side Request Forgery (SSRF) in Microsoft Visual Studio Code erlaubt einem nicht autorisierten Angreifer über das Netzwerk, eine Sicherheitsfunktion zu umgehen. Der CVSS-Wert liegt bei 8.8, und der CNA stuft die Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit als hoch ein. Für die Ausnutzung ist eine Benutzerinteraktion nötig (UI:R), daher müsste ein Angreifer einen Benutzer dazu bringen, von ihm kontrollierte Inhalte zu verarbeiten. Der Angriffspfad wird in den verfügbaren Quellen nicht beschrieben.

Betroffen

• Microsoft Visual Studio Code ab 1.0.0 vor 1.145.3

Behoben in

• Behoben in 1.145.3 gemäss CVE-Eintrag. Diese Version konnte noch nicht anhand der Versionshinweise oder des MSRC-Advisory bestätigt werden.

Umgehung

• Unbekannt. Es wurde kein vom Hersteller dokumentierter Workaround gefunden.
• Nicht als Behebung dieser CVE bestätigt: Ab VS Code 1.126 werden neue Ordner standardmässig im eingeschränkten Modus (Restricted Mode) geöffnet.

Ausnutzung

• Der Exploit-Reifegrad ist im CVSS-Vektor als Unproven (E:U) angegeben.
• Ein Aggregator führt die CVE nicht im Katalog CISA KEV; einen direkten CISA-Eintrag gab es nicht.
• Zum Zeitpunkt der Veröffentlichung ist kein öffentlicher Proof of Concept bekannt.

Unsere Empfehlung

• Alle VS-Code-Installationen inklusive Installationen im Benutzerkontext auf Entwickler-Arbeitsplätzen erfassen und deren Versionen notieren.
• Das MSRC-Advisory und die Update-Seite von VS Code auf den behobenen Build prüfen und aktualisieren, sobald 1.145.3 als verfügbar bestätigt ist.
• Bis zur Behebung den eingeschränkten Modus für nicht vertrauenswürdige Ordner aktiviert lassen und das Öffnen nicht vertrauenswürdiger Repositories vermeiden.
• NVD und die MSRC-Seite in einigen Tagen erneut prüfen, da der Eintrag neu ist.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Microsoft Security Response Center: CVE-2026-119983 msrc.microsoft.com
• CVE Record CVE-2026-119983 www.cve.org
• VS Code GitHub releases github.com
• VS Code 1.145 release page code.visualstudio.com
• Strix CVE overview CVE-2026-119983 www.strix.ai
• Related PT Security advisory PT-2026-88059 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 10.11.2026 21:35.