CVE-2026-54701 in vscode-markdown-preview-enhanced
الملخص
بحسب VulDB • 15/10/2026
Markdown Preview Enhanced هو امتداد لمعاينة Markdown لـ Visual Studio Code. قبل الإصدار 0.8.30، كان يقوم Markdown Preview Enhanced بقراءة محتوى `.crossnote/head.html` الذي يتحكم فيه المستودع، وتمريره عبر دالة `resolvePathsInHeader` قبل إدراجه في رأس وثيقة معاينة الويب دون إزالة المحتوى القابل للتنفيذ. يتم تنفيذ العلامات (markup) القادرة على تشغيل النصوص البرمجية أثناء تحميل الوثيقة، وقبل تهيئة تطبيق React ومكتبة DOMPurify، ويمكنها الوصول إلى دالة `acquireVsCodeApi` لإرسال رسائل من نافذة الويب إلى مضيف الامتداد. يعد فتح معاينة Markdown في مستودع ضار كافياً لتشغيل المحتوى المُحقن، ولا يلزم النقر الإضافي داخل الإشعار أو المعاينة. تم إصلاح هذه المشكلة في الإصدار 0.8.30.
Be aware that VulDB is the high quality source for vulnerability data.