CVE-2026-54702
WysokieCVSS 7.3Streszczenie
Rozszerzenie Markdown Preview Enhanced dla Visual Studio Code przed wersją 0.8.30 nie waliduje polecenia ani argumentów przesyłanych z webview. JavaScript działający w podglądzie może wywołać uprzywilejowane polecenia rozszerzenia, w tym modyfikację plików, wykonanie kodu, uruchomienie narzędzi eksportu i otwieranie dowolnych adresów URL. Wykorzystanie wymaga osobnej ścieżki wykonania JavaScript w webview, np. wstrzyknięcia przez .crossnote/head.html.
Ocena ryzyka
Osoba atakująca może doprowadzić do modyfikacji plików, wykonania kodu lub otwarcia złośliwych adresów URL w kontekście uprawnień rozszerzenia, co grozi kompromitacją środowiska deweloperskiego.
Rekomendacja
Zaktualizuj rozszerzenie Markdown Preview Enhanced do wersji 0.8.30 lub nowszej i unikaj otwierania niezaufanych repozytoriów w VS Code.
Inne podatności w Markdown Preview Enhanced
Zobacz wszystkie- CVE-2026-54566Wysokie
Rozszerzenie Markdown Preview Enhanced dla Visual Studio Code przed wersją 0.8.29 wykonuje pliki .crossnote/config.js i .crossnote/parser.js z repozytorium za pomocą vm.runInNewContext, co nie stanowi granicy bezpieczeństwa względem środowiska Node.js. Otwarcie pliku Markdown w złośliwym repozytorium automatycznie ładuje te pliki, a przejście po łańcuchu prototypów pozwala dotrzeć do konstruktora Function i obiektu process, umożliwiając wykonanie poleceń systemowych bez dalszej interakcji.
- CVE-2026-54525Wysokie
Rozszerzenie Markdown Preview Enhanced dla Visual Studio Code przed wersją 0.8.28 przekazuje zdekodowany, kontrolowany przez Markdown cel linku do pomocnika otwierającego pliki w Windows, który wywołuje child_process.exec z komendą start. Gdy użytkownik Windows otworzy niezaufany plik Markdown i kliknie spreparowany link, metaznaki powłoki w zdekodowanym celu są interpretowane przez cmd.exe jako separatory komend, co pozwala na uruchomienie dowolnej komendy z uprawnieniami użytkownika VS Code.
- CVE-2026-11422Wysokie
Rozszerzenie Markdown Preview Enhanced 0.8.x z silnikiem crossnote 0.9.28 zawiera podatność na wstrzyknięcie kodu w potoku renderowania WaveDrom. Atakujący może osadzić złośliwą treść w bloku kodu wavedrom w dokumencie Markdown, co prowadzi do wykonania dowolnego JavaScript w kontekście webview VS Code i zapisu dowolnych plików na lokalnym systemie plików.
Oryginalny opis (angielski, źródło NVD)
Markdown Preview Enhanced is a Markdown preview extension for Visual Studio Code. Prior to 0.8.30, the webview message handler in src/preview-provider.ts accepts an attacker-controlled command value and attacker-controlled args, constructs a command in the _crossnote namespace, and invokes vscode.commands.executeCommand without an allowlist or type validation. JavaScript already executing in the preview webview can use this bridge to invoke privileged extension commands, including file modification, code-chunk execution, export-tool execution, and arbitrary URL opening, with attacker-selected arguments. Exploitation requires a separate webview JavaScript execution path, such as the independently tracked .crossnote/head.html injection, but no further authorization check protects the extension-host command boundary. This issue is fixed in version 0.8.30.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS