Copilot 防护代码只用文件名匹配，被找出 Visual Studio 高危 RCE
wunderwuzzi23 · x · 2026-10-14
安全研究员 wunderwuzzi 展示了 Visual Studio Copilot 中本应阻止 Copilot 写入 mcp. 和 settings.visualstudio. 等配置文件的防护代码：EditsFunctionHandler.GetEditConfirmationTypeAsync 仅用 Path.GetFileName 后做文件名精确比较和 EndsWith 判断。
作者以此图抛出「这段代码有什么问题」的挑战。该缺陷最终导致 Visual Studio 与 SSMS 的高危 RCE（CVE-2026-103572），补丁已在该 Patch Tuesday 发布，详细分析文章将随后公布（详见同作者后续推文）。
所属事件:Visual Studio Copilot 防护缺陷可致高危 RCE，微软紧急修复(2 条相关)→
「编程与Agent」频道最新
- Anthropic 日均合并 3 万次代码变更，人工改为审查变更意图 — ronbodkin · 2026-10-14
- 把乱代码塞进独立函数,算重构还是只是装箱? — jimmykoppel · 2026-10-14
- Claude Code 2.1.299 即将发布,更新内容待揭晓 — ClaudeCodeLog · 2026-10-14
- Coinbase 微调 Qwen3.5-9B 做反欺诈，胜过前沿模型且更便宜 — lmoroney · 2026-10-14
- 创始人发起讨论：你真的让 AI Agent 替你花钱了吗 — kevinfee · 2026-10-14
- DeepSeek V4.1 自评甚高，却嫌自己的子智能体不靠谱 — teortaxesTex · 2026-10-14