事件经过
NVD 在 2026-08-14 发布了 CVE-2026-19884（CVSS 8.4，高）,描述了 Eclipse Theia 的 git 集成中的工作区信任绕过,在打开文件夹时启动源代码控制操作,在用户做出任何信任决定之前。
影响分析
Theia 支撑多个 AI 辅助编码 IDE;工作区信任绕过在文件夹打开时直接相关于日益增长的攻击类别,其中恶意存储库利用 AI 编码代理的信任模型在用户审查文件夹之前实现意外的代码执行。
攻击途径
打开文件夹在不要求用户首先信任文件夹的情况下启动源代码控制集成,允许存储库嵌入的配置或钩子在建立工作区信任边界之前执行 git 操作
受影响系统
Eclipse Theia ≤ 1.69.0（@theia/git 扩展和 Theia IDE）
缓解措施
升级 Eclipse Theia 至 1.69.0 以上版本;禁用不受信任文件夹的 git 集成,直到补丁发布