CVE-2026-54703
Təsvir
Markdown Preview Enhanced, Visual Studio Code üçün Markdown önizləmə genişlənməsidir. 0.8.30 versiyasından əvvəl, Markdown Preview Enhanced-dəki _crossnote.updateMarkdown komandası ixtiyari URI və hücumçu tərəfindən idarə olunan məzmunu qəbul edir, daha sonra hədəfin cari önizləmə ilə təmsil olunan Markdown faylı olduğunu yoxlamadan onları vscode.workspace.fs.writeFile funksiyasına ötürür. Önizləmə veb görünüşündə (webview) artıq icra olunan JavaScript, genişlənmə mesaj körpüsü vasitəsilə bu komandanı çağıra və VS Code istifadəçisinin əməliyyat sistemi imtiyazları ilə icazə verilən istənilən faylı, o cümlədən istifadəçi konfiqurasiyası, start, mənbə və build fayllarını yaza bilər. Bu fayl yazma zəifliyi, müstəqil şəkildə izlənilən head.html inyeksiyası və kor komanda göndərmə (blind command-dispatch) kimi ayrıca bir veb görünüş JavaScript icra yolu tələb edir. Bu problem 0.8.30 versiyasında düzəldilmişdir.
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| shd101wyy vscode-markdown-preview-enhanced | < 0.8.30 | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.