漏洞关键信息总结 1. 漏洞概述 漏洞名称: Zip Slip Path Traversal (Zip Slip 路径遍历) CVE ID: CVE-2026-35454 描述: 在 v2.4.1 及更早版本中存在 Zip Slip (CWE-22) 漏洞。攻击者可以通过上传恶意的 VSIX 文件，利用 传递原始的攻击者控制的文件名，结合 缺乏边界检查以及 仅进行词法解析而不限制路径范围的特性，实现在扩展目录之外写入任意文件。 攻击后果: 攻击者（拥有上传权限的用户）可在提取文件时将文件写入攻击者指定的路径（如 ），从而导致持久化（cron/init injection）、SSH 密钥注入、ld.so.preload 劫持或二进制文件覆盖。 2. 影响范围 受影响包: (Go) 受影响版本: 修复版本: 3. 修复方案 升级至版本 即可解决此问题。 修复地址：https://github.com/coder/code-marketplace/releases/tag/v2.4.2 4. 关键代码逻辑 (Root Cause) 代码块 1: ExtractZip 传递了原始的攻击者控制的 zf.Name 代码块 2: AddExtension 使用 filepath.Join 构建输出路径且无边界检查 代码块 3: filepath.Clean 解析了 .. 但未将结果限制在 dir 内**