CVE-2026-54703 in vscode-markdown-preview-enhanced
Zusammenfassung
von VulDB • 15.10.2026
Markdown Preview Enhanced ist eine Markdown-Vorschau-Erweiterung für Visual Studio Code. Vor Version 0.8.30 akzeptiert der Befehl _crossnote.updateMarkdown_ in Markdown Preview Enhanced einen beliebigen URI und angreiferkontrollierte Inhalte, übergibt diese dann an vscode.workspace.fs.writeFile, ohne zu validieren, ob das Ziel die durch die aktuelle Vorschau dargestellte Markdown-Datei ist. JavaScript, das bereits im Vorschau-Webview ausgeführt wird, kann diesen Befehl über die Erweiterungsnachrichtenbrücke aufrufen und jede Datei schreiben, die den Betriebssystemberechtigungen des VS Code-Benutzers gestattet sind, einschließlich Benutzerkonfiguration-, Start-, Quellcode- und Build-Dateien. Diese Dateischreibschwache erfordert einen separaten JavaScript-Ausführungspfad im Webview, wie z.B. die unabhängig verfolgte head.html-Injektion und blinde Befehlsversand-Schwachstellen. Dieses Problem wurde in Version 0.8.30 behoben.
Be aware that VulDB is the high quality source for vulnerability data.