Markdown Preview Enhanced — appels de commandes non restreints depuis la webview

Veille sécuritéFrontend

P3Élevée

Markdown Preview Enhanced pour Visual Studio Code permet à du JavaScript déjà exécuté dans la webview d’appeler des commandes privilégiées de l’extension avec des arguments contrôlés par l’attaquant. L’exploitation dépend d’une voie distincte d’exécution de JavaScript dans la webview, mais le pont vers l’hôte de l’extension ne vérifie pas de liste d’autorisation ni le type des arguments.

IdentifiantCVE-2026-54702

GravitéÉlevée

Exploitationnon connue / non déterminée

Correctif0.8.30

Source : NVD — CVE-2026-54702

Analyse technique

Le gestionnaire de messages accepte une commande et des arguments contrôlés, puis appelle vscode.commands.executeCommand dans l’espace _crossnote. Les commandes accessibles comprennent notamment la modification de fichiers, l’exécution de code de bloc et des outils d’export.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-14; cette vulnérabilité nouvellement documentée est retenue dans la période.

ImpactUn attaquant ayant déjà obtenu l’exécution de JavaScript dans la webview peut invoquer des commandes de l’extension avec les privilèges de l’utilisateur.

Versions affectéesVersions antérieures à 0.8.30

Version corrigée0.8.30

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS7.3

Publication2026-10-14T20:17:47.737Z

Mise à jour2026-10-14T20:17:47.737Z

Action recommandée

Mettre à niveau l’extension vers la version 0.8.30 ou ultérieure.

Sources

NVD — CVE-2026-54702

Priorisation DFS : P3 · 1 source(s).