CVE-2026-54703 in vscode-markdown-preview-enhanced
Sumário
de VulDB • 16/10/2026
Markdown Preview Enhanced é uma extensão de pré-visualização Markdown para o Visual Studio Code. Antes da versão 0.8.30, o comando _crossnote.updateMarkdown no Markdown Preview Enhanced aceita um URI arbitrário e conteúdo controlado pelo atacante, passando-os então para vscode.workspace.fs.writeFile sem validar se o destino corresponde ao arquivo Markdown representado pela pré-visualização atual. JavaScript já em execução na webview de pré-visualização pode invocar este comando através da ponte de mensagens da extensão e gravar qualquer arquivo permitido pelos privilégios do sistema operacional do usuário do VS Code, incluindo arquivos de configuração do usuário, inicialização, origem (source) e compilação (build). Esta vulnerabilidade de gravação em arquivos requer um caminho separado para execução de JavaScript na webview, como as fraquezas independentemente rastreadas de injeção head.html e despacho cego de comandos. Este problema foi corrigido na versão 0.8.30.
Be aware that VulDB is the high quality source for vulnerability data.