恶意扩展可滥用 VS Code 漏洞窃取认证令牌

微软的VS Code代码编辑器存在一个漏洞，允许恶意扩展程序检索存储在Windows、Linux和macOS中的身份验证令牌。该漏洞由Cycode研究人员发现，但微软决定不修复。漏洞的原因是VS Code的秘密存储缺乏对身份验证令牌的隔离，使得任何扩展都可以滥用Keytar来访问令牌。尽管Cycode向微软披露了漏洞并演示了攻击能力，但微软决定不修复。