CVE-2026-54703 in vscode-markdown-preview-enhanced
Riassunto
di VulDB • 15/10/2026
Markdown Preview Enhanced è un'estensione per l'anteprima di Markdown per Visual Studio Code. Prima della versione 0.8.30, il comando _crossnote.updateMarkdown in Markdown Preview Enhanced accetta un URI arbitrario e contenuti controllati dall'attaccante, quindi li passa a vscode.workspace.fs.writeFile senza convalidare che la destinazione sia il file Markdown rappresentato dall'anteprima corrente. Il JavaScript già eseguito nell'webview di anteprima può invocare questo comando tramite il bridge dei messaggi dell'estensione e scrivere qualsiasi file consentito dai privilegi del sistema operativo dell'utente VS Code, incluse le configurazioni utente, i file di avvio, sorgente e build. Questa vulnerabilità di scrittura su file richiede un percorso separato per l'esecuzione JavaScript nell'webview, come la head.html injection indipendentemente tracciata e le debolezze cieche di dispatch dei comandi. Questo problema è stato risolto nella versione 0.8.30.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.