CVE-2026-54566
WysokieCVSS 8.5Streszczenie
Rozszerzenie Markdown Preview Enhanced dla Visual Studio Code przed wersją 0.8.29 wykonuje pliki .crossnote/config.js i .crossnote/parser.js z repozytorium za pomocą vm.runInNewContext, co nie stanowi granicy bezpieczeństwa względem środowiska Node.js. Otwarcie pliku Markdown w złośliwym repozytorium automatycznie ładuje te pliki, a przejście po łańcuchu prototypów pozwala dotrzeć do konstruktora Function i obiektu process, umożliwiając wykonanie poleceń systemowych bez dalszej interakcji.
Ocena ryzyka
Osoba atakująca może uzyskać wykonanie dowolnych poleceń systemowych z uprawnieniami ofiary po prostu poprzez otwarcie pliku Markdown ze złośliwego repozytorium, co prowadzi do pełnej kompromitacji stacji roboczej.
Rekomendacja
Zaktualizuj rozszerzenie Markdown Preview Enhanced do wersji 0.8.29 lub nowszej i nie otwieraj plików Markdown z niezaufanych repozytoriów.
Inne podatności w Markdown Preview Enhanced
Zobacz wszystkie- CVE-2026-54702Wysokie
Rozszerzenie Markdown Preview Enhanced dla Visual Studio Code przed wersją 0.8.30 nie waliduje polecenia ani argumentów przesyłanych z webview. JavaScript działający w podglądzie może wywołać uprzywilejowane polecenia rozszerzenia, w tym modyfikację plików, wykonanie kodu, uruchomienie narzędzi eksportu i otwieranie dowolnych adresów URL. Wykorzystanie wymaga osobnej ścieżki wykonania JavaScript w webview, np. wstrzyknięcia przez .crossnote/head.html.
- CVE-2026-54525Wysokie
Rozszerzenie Markdown Preview Enhanced dla Visual Studio Code przed wersją 0.8.28 przekazuje zdekodowany, kontrolowany przez Markdown cel linku do pomocnika otwierającego pliki w Windows, który wywołuje child_process.exec z komendą start. Gdy użytkownik Windows otworzy niezaufany plik Markdown i kliknie spreparowany link, metaznaki powłoki w zdekodowanym celu są interpretowane przez cmd.exe jako separatory komend, co pozwala na uruchomienie dowolnej komendy z uprawnieniami użytkownika VS Code.
- CVE-2026-11422Wysokie
Rozszerzenie Markdown Preview Enhanced 0.8.x z silnikiem crossnote 0.9.28 zawiera podatność na wstrzyknięcie kodu w potoku renderowania WaveDrom. Atakujący może osadzić złośliwą treść w bloku kodu wavedrom w dokumencie Markdown, co prowadzi do wykonania dowolnego JavaScript w kontekście webview VS Code i zapisu dowolnych plików na lokalnym systemie plików.
Oryginalny opis (angielski, źródło NVD)
Markdown Preview Enhanced is a Markdown preview extension for Visual Studio Code. Prior to 0.8.29, Markdown Preview Enhanced evaluates repository-controlled .crossnote/config.js and .crossnote/parser.js files with vm.runInNewContext, which does not provide a security boundary from the Node.js host realm. Opening a Markdown file in a malicious repository automatically loads these files, and prototype-chain traversal can reach the host Function constructor and process object, allowing operating-system commands to execute as the victim account without further interaction. Both configuration evaluation and parser-hook evaluation are affected, and the attack does not depend on module-scoped require being available. This issue is fixed in version 0.8.29.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS