Apa yang terjadi
Pada versi VS Code sebelum 1.145.3, McpElicitationService menggunakan notifikasi workbench ketika tidak ada sesi chat yang tersedia untuk permintaan elicitation/create MCP. String pesan yang dikendalikan server dirender sebagai markdown tertaut, sehingga server MCP berbahaya dapat membuat pesan sebagai tautan yang menunjuk ke URI perintah (misalnya workbench.action.terminal.sendSequence) atau sebagai objek yang meniru struktur node tautan pra-parsed renderer; satu klik mengeksekusi perintah workbench dengan izin pengguna. Microsoft menetapkan CVE-2026-120779 (CWE-94, CVSS 3.1 9.6 Kritis; peringkat Microsoft sendiri 'Penting') dan memperbaikinya di VS Code 1.145.3, dirilis 2026-11-10, dengan merender pesan elicitation sebagai teks literal.
Mengapa penting
Ini adalah kelas serangan agentic/MCP langsung: server MCP jarak jauh yang dihubungkan pengembang ke IDE dapat melintasi batas dari teks yang dirender ke eksekusi perintah lokal di lingkungan pengembang. Mengingat ke mana-mana VS Code (penggunaan 70%+ pengembang) dan pertumbuhan pesat server MCP jarak jauh, penyerang yang meyakinkan pengembang untuk menghubungkan server berbahaya dapat mencapai eksekusi kode dengan hak istimewa pengguna tersebut.
Vektor serangan
Server MCP berbahaya mengirim permintaan elicitation/create dengan pesan yang dibuat berisi URI perintah (atau objek yang meniru node tautan pra-parsed); merender tautan notifikasi dan mengkliknya menjalankan perintah workbench dengan hak istimewa pengguna.
Sistem yang terdampak
Microsoft Visual Studio Code < 1.145.3 (elicitation MCP / renderer notifikasi)
Mitigasi
Tingkatkan ke VS Code 1.145.3+; perlakukan server MCP sebagai tidak tepercaya dan periksa sebelum menghubungkan, terutama untuk server yang memiliki hak istimewa/jarak jauh.