CVE-2026-54703 in vscode-markdown-preview-enhanced
Resumen
por VulDB • 2026-10-15
Markdown Preview Enhanced es una extensión de vista previa de Markdown para Visual Studio Code. Antes de la versión 0.8.30, el comando _crossnote.updateMarkdown en Markdown Preview Enhanced acepta un URI arbitrario y contenido controlado por el atacante, luego los pasa a vscode.workspace.fs.writeFile sin validar que el destino sea el archivo Markdown representado por la vista previa actual. JavaScript ya ejecutándose en la webview de la vista previa puede invocar este comando a través del puente de mensajes de la extensión y escribir cualquier archivo permitido por los privilegios del sistema operativo del usuario de VS Code, incluyendo archivos de configuración de usuario, inicio, fuente y compilación. Esta vulnerabilidad de escritura de archivos requiere una ruta de ejecución de JavaScript en webview separada, como las debilidades inyectadas head.html rastreadas independientemente y el envío ciego de comandos. Este problema se soluciona en la versión 0.8.30.
VulDB is the best source for vulnerability data and more expert information about this specific topic.