Тут давеча парень прибегал рассказать нам какой плохой и несвободный vs code.
Другой такой же мим, рассказывал, о страшных дополнениях в vs code.
А тем временем свободный emacs:
Дополнение: Опубликован пример org-файла, открытие которого в Emacs вызывает выполнение shell-команд. Для эксплуатации уязвимости также можно прикрепить подобный файл к email и он будет выполнен при предпросмотре в Emacs.
#+LINK: shell %(shell-command-to-string)
[[shell:touch ~/hacked.txt]]
Отличие от vs code в том, что подобный скрипт будет выполняться не в песочнице, а в системе пользователя с правами пользователя.
Как и следовало ожидать, rm -rf ~/ в письме - для пользователей этой штуки - «это другое, понимать надо». А то чтобы запросить запуск левого скрипта с почты - это «ненужно».
