CVE-2026-54703 in vscode-markdown-preview-enhanced
要約
〜によって VulDB • 2026年10月15日
Markdown Preview Enhancedは、Visual Studio Code用のMarkdownプレビュー拡張機能です。バージョン0.8.30より前では、_crossnote.updateMarkdownコマンドが任意のURIと攻撃者が制御できるコンテンツを受け取り、対象が現在のプレビューで表されるMarkdownファイルであることを検証せずにvscode.workspace.fs.writeFileに渡します。プレビューwebview内で既に実行されているJavaScriptは、拡張機能メッセージブリッジを通じてこのコマンドを呼び出し、VS CodeユーザーのOS権限によって許可された任意のファイル（ユーザー設定、起動用、ソース、ビルドファイルを含む）を書き込むことができます。このファイル書き込み脆弱性には、head.htmlインジェクションや盲命令ディスパッチなどの独立して追跡されているwebview JavaScript実行パスが必要です。本問題はバージョン0.8.30で修正されています。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.