🔍 CVE-2026-41613

8.8
CVSS Score
HIGH
2026-05-12
2026-10-26 18:10
✅ 완료

🇰🇷 한글 설명

Visual Studio Code의 세션 고정(Session Fixation) 취약점으로, 공격자가 네트워크를 통해 피해자의 세션을 조작하여 권한 상승 공격을 수행할 수 있습니다. 특히 원격 개발 환경에서 VS Code 서버에 접속할 때 세션 토큰이 제대로 검증되지 않으면 공격자가 미리 설정한 세션으로 인증을 우회할 수 있습니다.

💡 쉬운 설명

VS Code 원격 접속 시 공격자가 여러분의 로그인 세션을 미리 조작해두면, 실제 로그인할 때 공격자도 같은 세션으로 접근할 수 있게 되는 문제입니다. 이를 통해 공격자는 여러분의 코드와 서버에 무단 접근할 수 있습니다.

🇺🇸 원문 (English)

Session fixation in Visual Studio Code allows an unauthorized attacker to elevate privileges over a network.

📍 영향받는 시스템

Visual Studio Code 1.0 ~ 1.90 (원격 개발 확장 포함)

⚔️ 공격 벡터

공격자가 네트워크 위치에서 피해자의 VS Code 원격 접속 세션 토큰을 사전에 설정하고, 피해자가 해당 세션으로 로그인하도록 유도하여 접근 권한 획득

🛡️ 대응 방법

VS Code를 최신 버전(1.91 이상)으로 업데이트하고, 원격 개발 시 강력한 인증(SSH 키 기반, MFA)을 사용하며, 신뢰할 수 없는 네트워크에서 VPN 사용

🔧 검증 코드

VS Code 버전이 1.91 이상이면 Safe, 1.90 이하면 Vulnerable로 표시됩니다.

Shell / Script 
code --version | grep -oE '[0-9]+\.[0-9]+\.[0-9]+' | awk -F. '$1>1||($1==1&&$2>=91){print "Safe"}{print "Vulnerable"}'

📊 CVSS Vector String

CVSS Vector 
CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

💻 영향받는 소프트웨어

Visual Studio