CVE-2026-54702— Markdown Preview Enhanced 通过未验证的 Webview 消息处理器盲命令调度漏洞
一分钟漏洞结论
影响对象
shd101wyy vscode-markdown-preview-enhanced
利用判断
尚无明确在野利用证据，仍需结合暴露面评估
建议动作
优先检查厂商安全公告和参考链接中的修复版本；无法立即升级时，限制受影响服务暴露并加强监测。
Markdown Preview Enhanced 是 Visual Studio Code 的一个 Markdown 预览扩展。在版本 0.8.30 之前，位于 中的 WebView 消息处理程序接受攻击者可控的命令值（command）和参数（args），在 命名空间下构造命令，并通过 执行该命令，且未进行任何白名单校验或类型验证。已在预览 WebView 中执行的 JavaScript 代码可以利用此桥接机制调用需要特权的扩展命令，包括文件修改、代码块执行、导出工具执行以及打开任意 URL 等操作，并可由攻击者
影响版本矩阵 1
| 厂商 | 产品 | 版本范围 | 状态 |
|---|---|---|---|
| shd101wyy | vscode-markdown-preview-enhanced | < 0.8.30 |
affected |
获取后续新漏洞提醒
登录后订阅
一、 漏洞 CVE-2026-54702 基础信息
漏洞信息
对漏洞内容有疑问？看看神龙的深度分析是否有帮助！
查看神龙十问 ↗
尽管我们使用了先进的大模型技术，但其输出仍可能包含不准确或过时的信息。神龙努力确保数据的准确性，但请您根据实际情况进行核实和判断。
Vulnerability Title
Markdown Preview Enhanced: Blind Command Dispatch via Unvalidated Webview Message Handler
来源: CVE Program / CVE List V5
Vulnerability Description
Markdown Preview Enhanced is a Markdown preview extension for Visual Studio Code. Prior to 0.8.30, the webview message handler in src/preview-provider.ts accepts an attacker-controlled command value and attacker-controlled args, constructs a command in the _crossnote namespace, and invokes vscode.commands.executeCommand without an allowlist or type validation. JavaScript already executing in the preview webview can use this bridge to invoke privileged extension commands, including file modification, code-chunk execution, export-tool execution, and arbitrary URL opening, with attacker-selected arguments. Exploitation requires a separate webview JavaScript execution path, such as the independently tracked .crossnote/head.html injection, but no further authorization check protects the extension-host command boundary. This issue is fixed in version 0.8.30.
来源: CVE Program / CVE List V5
CVSS Information
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:P/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N
来源: CVE Program / CVE List V5
Vulnerability Type
暴露危险的方法或函数
来源: CVE Program / CVE List V5
受影响产品
| 厂商 | 产品 | 影响版本 | CPE | 订阅 |
|---|---|---|---|---|
| shd101wyy | vscode-markdown-preview-enhanced | < 0.8.30 | - |
|
二、漏洞 CVE-2026-54702 的公开POC
| # | POC 描述 | 源链接 | 神龙链接 |
|---|
AI 生成 POC
高级
未找到公开 POC。
登录以生成 AI POC三、漏洞 CVE-2026-54702 的情报信息
请登录查看更多情报信息。
CVE-2026-54702 补丁与修复 (2)
CVE-2026-54702 其他参考 (2)
同批安全公告 · shd101wyy · 2026-10-14 · 共 5 条
| CVE-2026-54525 | 8.8 HIGH | Markdown Preview Enhanced 远程代码执行漏洞 |
| CVE-2026-54566 | 8.5 HIGH | Markdown Preview Enhanced 通过 VM 沙箱逃逸导致远程代码执行 |
| CVE-2026-54701 | 6.9 MEDIUM | Markdown Preview Enhanced 通过未清理的 `.crossnote/head.html` 注入引发的存储型XSS漏洞 |
| CVE-2026-54703 | 5.8 MEDIUM | Markdown Preview Enhanced 任意文件写入漏洞 |
IV. Related Vulnerabilities
Same vendor: shd101wyy
V. Comments for CVE-2026-54702
暂无评论