10:31IT之家（博客/媒体）精选安全研究员Ammar Askar发现GitHub浏览器版VS Code（github.dev）的Webview机制存在漏洞。攻击者可通过恶意Jupyter Notebook链接，在30秒内模拟按键事件安装扩展，窃取用户的GitHub OAuth tokens。该漏洞也影响桌面版VS Code，但需用户克隆仓库并打开Notebook。Askar未协调微软MSRC披露，因此前VS Code漏洞报告曾被静默修复且未获致谢。缓解措施包括清除github.dev站点数据并卸载可疑扩展。行业VS CodeGitHubOAuth token安全漏洞Webview推荐理由：点个链接Token就被偷了原文