Visual Studio Copilot 与 SSMS 远程代码执行漏洞（CVE-2026-103572）

安全研究者 Johann Rehberger 披露 Visual Studio Copilot 的路径校验绕过漏洞 CVE-2026-103572，微软将其定为 Important 级远程代码执行，并在 10 月 13 日的 Patch Tuesday 发布修复。根因是 Windows 会忽略文件名结尾的点号，Agent 以 settings.json. 这类名称写入时可绕过对受保护配置文件的检查，该缺陷位于 Visual Studio 与 SSMS 共用的 Microsoft.VisualStudio.Copilot.Core.dll，Visual Studio 2022 等旧版本同样受影响。该漏洞 8 月 4 日报给 MSRC，9 月 16 日微软确认，CVSS 8.8 但奖金为 0 美元，修复方式是新增 GetFullPath 调用以去掉尾点并规范化路径。