微软网页版VS Code曝安全漏洞：点击链接即可窃取私有仓库Tokens

安全研究员Ammar Askar发现GitHub浏览器版VS Code（github.dev）的Webview机制存在漏洞。攻击者可通过恶意Jupyter Notebook链接，在30秒内模拟按键事件安装扩展，窃取用户的GitHub OAuth tokens。该漏洞也影响桌面版VS Code，但需用户克隆仓库并打开Notebook。Askar未协调微软MSRC披露，因此前VS Code漏洞报告曾被静默修复且未获致谢。缓解措施包括清除github.dev站点数据并卸载可疑扩展。