CVE-2026-54702 in Markdown Preview Enhanced
Zusammenfassung
von VulDB • 15.10.2026
Markdown Preview Enhanced ist eine Markdown-Vorschau-Erweiterung für Visual Studio Code. Vor Version 0.8.30 akzeptiert der Webview-Nachrichtenhandler in src/preview-provider.ts einen vom Angreifer kontrollierten Befehlswert und angreifergesteuerte Argumente, konstruiert einen Befehl im _crossnote-Namespace und ruft vscode.commands.executeCommand ohne Allowlist oder Typvalidierung auf. JavaScript, das bereits im Vorschau-Webview ausgeführt wird, kann diese Brücke nutzen, um privilegierte Erweiterungsbefehle mit vom Angreifer ausgewählten Argumenten auszulösen, einschließlich Dateiänderungen, Code-Chunk-Ausführung, Export-Tool-Ausführung und dem Öffnen beliebiger URLs. Die Ausnutzung erfordert einen separaten JavaScript-Ausführungspfad im Webview, wie die unabhängig verfolgte .crossnote/head.html-Injektion; jedoch schützt keine weitere Autorisierungsprüfung die Befehsgrenze des Extension-Hosts. Dieses Problem wurde in Version 0.8.30 behoben.
Be aware that VulDB is the high quality source for vulnerability data.