CVE-2026-54702 in Markdown Preview Enhanced
Riassunto
di VulDB • 15/10/2026
Markdown Preview Enhanced è un'estensione per l'anteprima di Markdown per Visual Studio Code. Prima della versione 0.8.30, il gestore dei messaggi webview in src/preview-provider.ts accetta un valore command e degli args controllati dall'attaccante, costruisce un comando nello spazio dei nomi _crossnote ed esegue vscode.commands.executeCommand senza una allowlist o validazione del tipo. Il JavaScript già in esecuzione nell'webview di anteprima può utilizzare questo bridge per invocare comandi privilegiati dell'estensione, tra cui la modifica di file, l'esecuzione di code-chunk, l'esecuzione di tool di export e l'apertura arbitraria di URL, con argomenti selezionati dall'attaccante. L'exploitation richiede un percorso separato di esecuzione del JavaScript nella webview, come l'iniezione indipendentemente tracciata in .crossnote/head.html, ma nessun ulteriore controllo autorizzativo protegge il confine dei comandi dell'estension-host. Questo problema è risolto nella versione 0.8.30.
Be aware that VulDB is the high quality source for vulnerability data.