CVE-2026-54702 in Markdown Preview Enhanced
Resumen
por VulDB • 2026-10-15
Markdown Preview Enhanced es una extensión de vista previa de Markdown para Visual Studio Code. Antes de la versión 0.8.30, el controlador de mensajes del webview en src/preview-provider.ts acepta un valor de comando y argumentos controlados por el atacante, construye un comando en el espacio de nombres _crossnote e invoca vscode.commands.executeCommand sin una lista blanca ni validación de tipos. El código JavaScript ya ejecutándose en el webview de vista previa puede utilizar este puente para invocar comandos privilegiados de la extensión, incluida la modificación de archivos, ejecución de fragmentos de código, ejecución de herramientas de exportación y apertura de URLs arbitrarias, con argumentos seleccionados por el atacante. La explotación requiere una ruta de ejecución separada del JavaScript en un webview, como la inyección .crossnote/head.html rastreada independientemente, pero no hay ninguna otra verificación de autorización que proteja el límite de comandos del host de extensión. Este problema se soluciona en la versión 0.8.30.
VulDB is the best source for vulnerability data and more expert information about this specific topic.