CVE-2026-54701
Beschrijving NL
Markdown Preview Enhanced is een Markdown preview extensie voor Visual Studio Code. Voorafgaand aan 0.8.30 leest Markdown Preview Enhanced repository-gecontroleerde .crossnote/head.html-inhoud en stuurt deze door resolvePathsInHeader voordat deze in het hoofd van het voorbeeldwebview-document wordt ingevoegd zonder uitvoerbare inhoud te verwijderen. Script-compatibele opmaak wordt uitgevoerd terwijl het document wordt geladen, voordat de React-toepassing en DOMPurify worden geïnitialiseerd, en heeft toegang tot acquireVsCodeApi om berichten vanuit de webweergave naar de extensiehost te verzenden. Het openen van een Markdown-voorbeeld in een kwaadaardige repository is voldoende om de geïnjecteerde inhoud te activeren en er is geen extra klik binnen de melding of voorbeeld vereist. Dit probleem is opgelost in versie 0.8.30.
Origineel (Engels) tonen
Markdown Preview Enhanced is a Markdown preview extension for Visual Studio Code. Prior to 0.8.30, Markdown Preview Enhanced reads repository-controlled .crossnote/head.html content and passes it through resolvePathsInHeader before inserting it into the head of the preview webview document without removing executable content. Script-capable markup executes while the document loads, before the React application and DOMPurify initialize, and can access acquireVsCodeApi to send messages from the webview to the extension host. Opening a Markdown preview in a malicious repository is sufficient to trigger the injected content, and no additional click within the notification or preview is required. This issue is fixed in version 0.8.30.