Visual Studio Code

🔍 Contexte Publié le 20 septembre 2026 par Omri Dar (Remedio Research), cet article présente une vulnérabilité de contournement de sécurité dans Visual Studio Code (VS Code) de Microsoft, affectant la dernière version stable au moment de la publication. La faille a été signalée au Microsoft Security Response Center (MSRC), qui l’a classée comme « Security Feature Bypass de sévérité modérée » sans attribution de CVE et sans correctif déployé. ...

📰 Source : SecurityAffairs, publié le 4 juin 2026. Le chercheur en sécurité Ammar Askar a découvert une vulnérabilité zero-day sérieuse dans github.dev, la version navigateur de Visual Studio Code, et a publié un exploit fonctionnel (PoC) une heure après en avoir informé un contact chez GitHub, sans ouvrir de ticket MSRC ni respecter de fenêtre de 90 jours. 🔍 Nature de la vulnérabilité : Lorsque github.com transmet un token OAuth à github.dev, ce token n’est pas limité au dépôt concerné. Il dispose d’un accès complet à tous les dépôts publics et privés accessibles par l’utilisateur. Un attaquant capable de modifier le fichier .vscode/extensions.json d’un dépôt peut y recommander une extension VS Code malveillante. ...

🌐 Contexte Source : socket.dev, publié le 28 mars 2026. Une campagne de phishing coordonnée et à grande échelle cible les développeurs directement sur la plateforme GitHub, en exploitant la fonctionnalité GitHub Discussions pour diffuser de fausses alertes de sécurité liées à Visual Studio Code. 🎯 Mode opératoire Les attaquants créent des milliers de GitHub Discussions quasi-identiques imitant des avis de sécurité légitimes, avec des titres tels que : “Visual Studio Code – Severe Vulnerability – Immediate Update Required” “Critical Exploit – Urgent Action Needed” Chaque post référence des CVE fabriqués et des plages de versions fictives, et incite les développeurs à télécharger une version “corrigée” via un lien externe. Les publications sont effectuées par des comptes récemment créés ou peu actifs, et taguent massivement des développeurs pour amplifier la portée via le système de notifications email de GitHub. ...

Selon un article publié le 19 février 2026, des vulnérabilités graves touchent plusieurs extensions populaires de Visual Studio Code (VSCode). Des vulnérabilités hautes à critiques affectant plusieurs extensions Visual Studio Code (et IDE compatibles comme Cursor et Windsurf) pourraient permettre à un attaquant de voler des fichiers locaux et/ou d’exécuter du code à distance. Les extensions concernées totalisent plus de 128 millions de téléchargements. Source : BleepingComputer — Flaws in popular VSCode extensions expose developers to attacks https://www.bleepingcomputer.com/news/security/flaws-in-popular-vscode-extensions-expose-developers-to-attacks/ ...

Selon un article publié par Bleeping Computer, un hacker a réussi à intégrer un code destructeur de données dans une version de l’assistant génératif d’Amazon, connu sous le nom de Q Developer Extension pour Visual Studio Code. Cette attaque vise à compromettre les développeurs utilisant cette extension en insérant un code malveillant capable de supprimer des données. L’extension affectée est utilisée dans l’environnement de développement Visual Studio Code, ce qui pourrait avoir des conséquences significatives pour les développeurs qui l’utilisent. ...

En mai 2025, une publication de la société Starlabs révèle une vulnérabilité critique dans Visual Studio Code (VS Code version <= 1.89.1) qui permet une escalade d’un bug XSS en exécution de code à distance (RCE), même en mode restreint. VS Code, qui fonctionne sur Electron, utilise des processus de rendu en bac à sable communiquant avec le processus principal via le mécanisme IPC d’Electron. La faille réside dans le mode de rendu minimal des erreurs récemment introduit pour les notebooks Jupyter, permettant l’exécution de code JavaScript arbitraire dans le WebView de l’application VS Code pour le rendu des notebooks. ...