CVE-2026-11422
Açıklama
crossnote motoru 0.9.28 ile birlikte Markdown Preview Enhanced 0.8.x, WaveDrom oluşturma hattında, saldırganların özel olarak hazırlanmış bir Markdown belgesi içindeki wavedrom çitli kod bloğuna kötü amaçlı içerik yerleştirerek rastgele JavaScript yürütmesine olanak tanıyan bir kod enjeksiyonu zafiyeti içermektedir. Saldırganlar, wavedrom blok içeriğinin VS Code webview bağlamındaki window.eval() fonksiyonuna temizlenmeden aktarılmasını kullanarak uzantının mesaj iletim mekanizmasını suistimal edebilir ve yerel dosya sisteminde rastgele dosya yazma işlemleri gerçekleştirebilir.
Nasıl düzeltilir
- shd101wyy Markdown Preview Enhanced0.8.27 ya da sonraki bir sürüm
- shd101wyy crossnote0.9.28 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| shd101wyy Markdown Preview Enhanced | v < 0.8.27 | 0.8.27 |
| shd101wyy crossnote | v < 0.9.28 | 0.9.28 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.