10:31IT之家(博客/媒体)精选安全研究员Ammar Askar发现GitHub浏览器版VS Code(github.dev)的Webview机制存在漏洞。攻击者可通过恶意Jupyter Notebook链接,在30秒内模拟按键事件安装扩展,窃取用户的GitHub OAuth tokens。该漏洞也影响桌面版VS Code,但需用户克隆仓库并打开Notebook。Askar未协调微软MSRC披露,因此前VS Code漏洞报告曾被静默修复且未获致谢。缓解措施包括清除github.dev站点数据并卸载可疑扩展。行业VS CodeGitHubOAuth token安全漏洞Webview推荐理由:点个链接Token就被偷了原文