事件经过
在VS Code 1.145.3之前的版本中，McpElicitationService在MCP诱导/创建请求没有聊天会话时回退到工作台通知。服务器控制的消息字符串被渲染为链接式Markdown，因此恶意MCP服务器可将消息构造为指向command: URI的链接（例如workbench.action.terminal.sendSequence），或构造为模拟渲染器预解析链接节点结构的对象；单击即可执行具有用户权限的工作台命令。微软分配了CVE-2026-120779（CWE-94，CVSS 3.1 9.6严重；微软自身评级“重要”），并在2026-11-10发布的VS Code 1.145.3中通过将诱导消息渲染为字面文本修复。
影响分析
这是直接代理/MCP攻击类别：开发者连接到IDE的远程MCP服务器可跨越从渲染文本到开发者环境中本地命令执行的边界。鉴于VS Code的普及性（70%以上开发者使用）和远程MCP服务器的快速增长，说服开发者连接恶意服务器的攻击者可在该用户权限下实现代码执行。
攻击途径
恶意MCP服务器发送诱导/创建请求，其中包含构造的command: URI消息（或模拟预解析链接节点的对象）；渲染通知链接并点击后以用户权限运行工作台命令。
受影响系统
Microsoft Visual Studio Code < 1.145.3（MCP诱导/通知渲染器）
缓解措施
升级至VS Code 1.145.3以上版本；将MCP服务器视为不可信，并在连接前进行审查，尤其是特权/远程服务器。