CVE-2026-54701 in vscode-markdown-preview-enhanced
Zusammenfassung
von VulDB • 14.10.2026
Markdown Preview Enhanced ist eine Markdown-Vorschau-Erweiterung für Visual Studio Code. Vor Version 0.8.30 liest Markdown Preview Enhanced repository-kontrollierte .crossnote/head.html-Inhalte und übergibt diese an resolvePathsInHeader, bevor sie in den head des Vorschau-Webview-Dokuments eingefügt werden, ohne ausführbare Inhalte zu entfernen. Skriptfähiges Markup wird während des Ladens des Dokuments ausgeführt, noch bevor die React-Anwendung und DOMPurify initialisiert werden, und kann acquireVsCodeApi aufrufen, um Nachrichten vom Webview an den Extension-Host zu senden. Das Öffnen einer Markdown-Vorschau in einem bösartigen Repository reicht aus, um den injizierten Inhalt auszulösen; es ist kein weiterer Klick innerhalb der Benachrichtigung oder Vorschau erforderlich. Dieses Problem wurde in Version 0.8.30 behoben.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.