CVE-2026-54566

Markdown Preview Enhanced, Visual Studio Code için bir Markdown önizleme eklentisidir. 0.8.29 sürümünden önce Markdown Preview Enhanced, depo tarafından kontrol edilen .crossnote/config.js ve .crossnote/parser.js dosyalarını, Node.js ana alanından güvenlik sınırı sağlamayan vm.runInNewContext ile değerlendirmektedir. Kötü niyetli bir depodaki Markdown dosyasının açılması bu dosyaları otomatik olarak yükler ve prototip zinciri geçişi (prototype-chain traversal), ana Function yapıcısına ve process nesnesine erişerek işletim sistemi komutlarının kurban hesabı üzerinden başka bir etkileşime gerek kalmadan çalıştırılmasına olanak tanır. Hem yapılandırma değerlendirmesi hem de ayrıştırıcı kancası (parser-hook) değerlendirmesi etkilenmektedir ve saldırı, modül kapsamlı require özelliğinin mevcut olmasına bağlı değildir. Bu sorun 0.8.29 sürümünde düzeltilmiştir.