CVE-2026-54702 in Markdown Preview Enhanced
요약
\~에 의해 VulDB • 2026. 10. 14.
Markdown Preview Enhanced는 Visual Studio Code용 Markdown 미리보기 확장 프로그램입니다. 버전 0.8.30 이전에는 src/preview-provider.ts의 webview 메시지 처리기가 공격자가 제어하는 명령 값과 인수를 받아들이고, _crossnote 네임스페이스에서 명령을 구성하며, 허용 목록이나 타입 검증 없이 vscode.commands.executeCommand를 호출합니다. 미리보기 webview 내에서 이미 실행 중인 JavaScript는 이 브리지를 통해 파일 수정, 코드 청크(execution) 실행, 내보내기 도구(exexport-tool) 실행 및 임의 URL 열기를 포함한 특권 확장 명령을 공격자가 선택한 인수로 호출할 수 있습니다. 악용(sexploitation)에는 독립적으로 추적되는 .crossnote/head.html 주입과 같은 별도의 webview JavaScript 실행 경로가 필요하지만, extension-host 명령 경계를 보호하는 추가적인 인증 확인은 없습니다. 이 문제는 버전 0.8.30에서 수정되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.