CVE-2026-54702 in Markdown Preview Enhanced
Сводка
по VulDB • 14.10.2026
Markdown Preview Enhanced — это расширение для предварительного просмотра Markdown в Visual Studio Code. До версии 0.8.30 обработчик сообщений веб-просмотра (webview) в файле src/preview-provider.ts принимает управляемое злоумышленником значение команды и аргументы, формирует команду в пространстве имен _crossnote и вызывает vscode.commands.executeCommand без использования белого списка или проверки типов. JavaScript, уже выполняющийся во встроенном окне предварительного просмотра, может использовать этот мост для вызова привилегированных команд расширения, включая модификацию файлов, выполнение блоков кода (code-chunk), запуск инструментов экспорта и открытие произвольных URL-адресов с аргументами, выбранными злоумышленником. Для эксплуатации требуется отдельный путь выполнения JavaScript во встроенном окне, например, независимо отслеживаемая инъекция в .crossnote/head.html; однако никаких дополнительных проверок авторизации для защиты границы между хостом расширения и его командами не предусмотрено. Эта проблема исправлена в версии 0.8.30.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.