Veille sécuritéFrontend
P4Moyenne
Markdown Preview Enhanced permet à la commande _crossnote.updateMarkdown d’écrire un contenu contrôlé vers un URI arbitraire, sans vérifier que la cible est le fichier Markdown de l’aperçu courant. Du JavaScript déjà exécuté dans la webview peut ainsi écrire tout fichier accessible aux privilèges système de l’utilisateur.
JavaScript
IdentifiantCVE-2026-54703
GravitéMoyenne
Exploitationnon connue / non déterminée
Correctif0.8.30
Source : NVD — CVE-2026-54703
Analyse technique
La commande transmet l’URI et le contenu contrôlés à vscode.workspace.fs.writeFile. L’exploitation dépend d’une voie distincte d’exécution de JavaScript dans la webview et de l’accès aux fichiers concerné.
Impact, versions et correctif
Événement datéLa fiche NVD indique une publication le 2026-10-14; cette vulnérabilité nouvellement documentée est retenue dans la période.
ImpactÉcriture de fichiers accessibles au compte système de l’utilisateur, y compris des fichiers de configuration ou de code.
Versions affectéesVersions antérieures à 0.8.30
Version corrigée0.8.30
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS5.8
Publication2026-10-14T20:17:47.913Z
Mise à jour2026-10-14T20:17:47.913Z
Action recommandée
Mettre à niveau l’extension vers la version 0.8.30 ou ultérieure.
Sources
Priorisation DFS : P4 · 1 source(s).