Visual Studio Code: Umgehung einer Sicherheitsfunktion durch unvollständige Eingabefilterung
Zusammenfassung
Visual Studio Code enthält eine Umgehung einer Sicherheitsfunktion aufgrund einer unvollständigen Liste unzulässiger Eingaben (CWE-184). Der Eintrag nennt die betroffene Sicherheitsfunktion nicht. Ein nicht autorisierter Angreifer kann dies über das Netzwerk ausnutzen, um den Schutz zu umgehen, mit einem CVSS-3.1-Wert von 7.5. Die Ausnutzung setzt eine hohe Angriffskomplexität und eine Interaktion des Benutzers voraus, etwa das Öffnen manipulierter Inhalte.
Betroffen
- Microsoft Visual Studio Code ab 1.0.0 vor 1.145.3
Behoben in
- Aktualisierung auf Visual Studio Code 1.145.3 oder neuer (gemäss CNA-Versionsbereich)
- Die Versionshinweise zu 1.145.3 nennen diese CVE nicht, die Zuordnung beruht daher auf dem CNA-Versionsbereich. Das Sicherheitsadvisory von MSRC zur Bestätigung prüfen.
- Die installierte Version über den offiziellen Microsoft-Kanal verifizieren. Sich nicht allein auf 1.145.2 verlassen.
Umgehung
- Unbekannt. Für diese CVE ist kein vom Hersteller veröffentlichter Workaround bekannt. Das Update einspielen.
Ausnutzung
- Exploitability-Index von Microsoft: Exploitation Less Likely, öffentliche Bekanntmachung nicht markiert (Rapid7).
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Nicht im CISA-KEV-Katalog aufgeführt. Keine Ausnutzung in freier Wildbahn gemeldet.
- Kein öffentlicher Proof of Concept bekannt.
Unsere Empfehlung
- Alle Visual-Studio-Code-Installationen auf 1.145.3 oder neuer aktualisieren, mit Priorität auf Arbeitsstationen von Entwicklern und Administratoren.
- Wo verfügbar, verwaltete Verteilung oder Richtlinien einsetzen und installierte Versionen im Inventar prüfen.
- Das Sicherheitsadvisory von MSRC auf Details zur betroffenen Sicherheitsfunktion und weitere Hinweise prüfen.
- Alle am gleichen Tag veröffentlichten VS-Code-Schwachstellen im gleichen Zyklus patchen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-121660 www.cve.org
- Microsoft Security Update Guide CVE-2026-121660 msrc.microsoft.com
- VS Code Release Notes 1.145 code.visualstudio.com
- Rapid7 Patch Tuesday November 2026 www.rapid7.com
- Strix CVE-2026-121660 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 05:21.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.