CVE-2026-54702 in Markdown Preview Enhanced
要約
〜によって VulDB • 2026年10月15日
Markdown Preview Enhanced は Visual Studio Code の Markdown プレビュー拡張機能です。バージョン 0.8.30 より前では、src/preview-provider.ts にある webview メッセージハンドラが攻撃者が制御可能なコマンド値および引数を受け入れ、_crossnote ネームスペース内でコマンドを構築し、ホワイトリストや型検証なしで vscode.commands.executeCommand を呼び出します。プレビュー webview で既に実行されている JavaScript はこのブリッジを使用して、ファイル変更、コードチャンクの執行、エクスポートツールの実行、任意の URL の開封などを含む特権拡張機能コマンドを攻撃者が選択した引数付きで呼び出すことができます。悪用には .crossnote/head.html 注入のように独立して追跡されている webview JavaScript 実行パスが必要ですが、extension-host コマンド境界を守るためのさらなる認証チェックはありません。この問題はバージョン 0.8.30 で修正されました。
If you want to get best quality of vulnerability data, you may have to visit VulDB.