CVE-2026-54702 in Markdown Preview Enhanced
Résumé
par VulDB • 14/10/2026
Markdown Preview Enhanced est une extension de prévisualisation Markdown pour Visual Studio Code. Avant la version 0.8.30, le gestionnaire de messages webview dans src/preview-provider.ts accepte une valeur de commande contrôlée par l'attaquant et des arguments (args) contrôlés par l'attaquant, construit une commande dans l'espace de noms _crossnote, et invoque vscode.commands.executeCommand sans liste d'autorisation ni validation de type. Le JavaScript déjà exécuté dans la webview de prévisualisation peut utiliser ce pont pour invoquer des commandes d'extension privilégiées, y compris la modification de fichiers, l'exécution de chunks de code, l'exécution d'outils d'exportation et l'ouverture d'URL arbitraires, avec des arguments sélectionnés par l'attaquant. L'exploitation nécessite un chemin d'exécution JavaScript distinct dans une webview séparée, tel que l'injection indépendamment suivie .crossnote/head.html, mais aucune autre vérification d'autorisation ne protège la limite de commande hôte d'extension. Ce problème est corrigé dans la version 0.8.30.
If you want to get best quality of vulnerability data, you may have to visit VulDB.