CVE-2026-54701 in vscode-markdown-preview-enhanced
Resumen
por VulDB • 2026-10-15
Markdown Preview Enhanced es una extensión de vista previa de Markdown para Visual Studio Code. Antes de la versión 0.8.30, Markdown Preview Enhanced leía el contenido .crossnote/head.html controlado por el repositorio y lo pasaba a través de resolvePathsInHeader antes de insertarlo en la cabecera del documento webview de la vista previa sin eliminar el contenido ejecutable. El marcado con capacidad para ejecutar scripts se ejecuta mientras se carga el documento, antes de que se inicialicen la aplicación React y DOMPurify, y puede acceder a acquireVsCodeApi para enviar mensajes desde el webview al host de la extensión. Abrir una vista previa de Markdown en un repositorio malicioso es suficiente para activar el contenido inyectado, sin necesidad de hacer clic adicional dentro de la notificación o la vista previa. Este problema está corregido en la versión 0.8.30.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.