CVE-2026-11422
Təsvir
crossnote mühərrikinin 0.9.28 versiyası ilə birlikdə olan Markdown Preview Enhanced 0.8.x, WaveDrom render boru kəmərində kod inyeksiyası zəifliyinə malikdir. Bu zəiflik hücumçulara xüsusi hazırlanmış Markdown sənədindəki wavedrom sədlənmiş kod blokuna zərərli məzmun yerləşdirməklə ixtiyari JavaScript kodlarını icra etməyə imkan verir. Hücumçular, VS Code webview kontekstində wavedrom blokunun təmizlənməmiş məzmununun window.eval() funksiyasına ötürülməsindən istifadə edərək genişlənmənin mesaj ötürmə mexanizmini sui-istifadə edə və lokal fayl sistemində ixtiyari faylların yazılmasını təmin edə bilərlər.
Necə düzəltmək olar
- shd101wyy Markdown Preview Enhanced0.8.27 və ya daha yeni versiya
- shd101wyy crossnote0.9.28 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| shd101wyy Markdown Preview Enhanced | v < 0.8.27 | 0.8.27 |
| shd101wyy crossnote | v < 0.9.28 | 0.9.28 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.