Visual Studio Code: Cross-Site Scripting (XSS)
Zusammenfassung
Laut CVE-Eintrag von Microsoft handelt es sich um eine Cross-Site Scripting-Schwachstelle (CWE-79) in Visual Studio Code, obwohl der Titel des Eintrags von Remote Code Execution spricht. Ein nicht authentifizierter Angreifer kann über das Netzwerk Code ausführen, wobei eine hohe Angriffskomplexität und eine Benutzerinteraktion nötig sind. Der CVSS-Score beträgt 8.3 mit geändertem Scope, weshalb die Auswirkungen über den Editor hinausgehen können. Nach aktuellem Kenntnisstand wurde keine Ausnutzung gemeldet.
Betroffen
- Microsoft Visual Studio Code 1.0.0 bis vor 1.145.3
Behoben in
- Visual Studio Code 1.145.3 oder neuer (noch nicht gegen das MSRC-Advisory bestätigt)
Umgehung
- Keine vom Hersteller genannte Workaround-Massnahme bekannt.
- Unbekannt, ob eine Konfigurationseinstellung das Risiko reduziert.
Ausnutzung
- CISA SSVC: Exploitation none, automatisierbar nein.
- Bei begrenzter Recherche wurden kein öffentlicher Proof of Concept und keine Ausnutzung in freier Wildbahn gefunden.
- Laut Strix-Tracker nicht im KEV-Katalog gelistet.
Unsere Empfehlung
- Das MSRC-Advisory öffnen und die Build-Nummer der Korrektur sowie mögliche Workarounds bestätigen.
- Entwickler-Installationen auf 1.145.3 oder neuer aktualisieren, inklusive portabler und verwalteter Kopien.
- NVD und das MSRC-Advisory in einigen Tagen auf Updates zur Ausnutzung prüfen.
Angaben von Microsoft (Patch Tuesday November 2026)
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- CVE Record CVE-2026-121664 www.cve.org
- MSRC Security Update Guide CVE-2026-121664 msrc.microsoft.com
- VS Code 1.145 release notes code.visualstudio.com
- Strix CVE tracker CVE-2026-121664 www.strix.ai
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 11.11.2026 01:22.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.