広く利用されるVSCode拡張機能「Live Server」に脆弱性 - 未修正状態続く

「Visual Studio Code」の開発環境において広く利用されている拡張機能「Live Server」に情報漏洩の脆弱性が明らかとなった。2025年8月に開発者へ報告されたが、その後も未修正の状態が続いているという。

「Live Server」は、ローカルでHTTPサーバを起動し、ファイル変更時にブラウザを自動更新する「Visual Studio Code」向けの拡張機能。

「CORS」による制限が適切に構成されていない脆弱性「CVE-2025-65717」が明らかとなった。拡張機能を起動した状態で悪意のあるリンクをクリックし、細工されたHTMLページを開くとスクリプトによってリモートからローカルファイルを外部へ送信できるという。

ソースコードをはじめ、環境ファイルに保存されたAPIキーや認証情報、ローカルログ、データベースなどが取得されるおそれがある。

脆弱性を発見したOX Securityは、開発者に対して2025年8月に開示したが、2026年2月17日の段階で依然としてレスポンスがないという。ソースリポジトリでは、2022年8月末にリリースされた「同5.7.9」が最新版となっており、少なくとも同バージョンを含む全バージョンが影響を受ける状態が続いていると指摘している。

OX Securityは共通脆弱性評価システム「CVSS」のベーススコアを「9.1」、重要度を4段階中もっとも高い「クリティカル（Critical）」とレーティング。一方米サイバーセキュリティインフラストラクチャセキュリティ庁（CISA）は、CVSS基本値を「4.3」、重要度を「中（Medium）」と評価している。

（Security NEXT - 2026/02/19 ）ツイート

広く利用されるVSCode拡張機能「Live Server」に脆弱性 - 未修正状態続く

関連リンク

PR

関連記事