Markdown Preview Enhanced exécutait des fichiers de configuration et de parser contrôlés par le dépôt dans un contexte vm.runInNewContext qui ne constitue pas une frontière de sécurité avec l’hôte Node.js. L’ouverture d’un fichier Markdown dans un dépôt malveillant pouvait ainsi permettre l’exécution de commandes système sous le compte de la victime, sans interaction supplémentaire.
Source : NVD — CVE-2026-54566
Analyse technique
La vulnérabilité concerne l’évaluation de .crossnote/config.js et .crossnote/parser.js; le parcours de la chaîne de prototypes peut atteindre le constructeur Function et l’objet process de l’hôte.
Impact, versions et correctif
Action recommandée
Mettre à niveau Markdown Preview Enhanced vers la version 0.8.29 ou une version ultérieure; éviter d’ouvrir des dépôts non fiables avec une version vulnérable.
Sources
Priorisation DFS : P3 · 1 source(s).