PT-2026-68364
CVE-2026-54525
·
تاريخ النشر
2026-06-16
·
تاريخ التحديث
2026-10-14
الوصف من
CVSS 2.0
10
عاليةالمقاييسAV:N/AC:L/Au:N/C:C/I:C/A:C
اسم البرنامج المصاب والإصدارات المتأثرة
Markdown Preview Enhanced الإصدارات السابقة لـ 0.8.28
Description
يؤدي عدم تحييد العناصر الخاصة بشكل صحيح في معالجة روابط المعاينة في إضافة Markdown Preview Enhanced لبرنامج Visual Studio Code إلى إمكانية تنفيذ رموز عن بُعد. عندما يفتح المستخدم ملف Markdown غير موثوق وينقر على رابط خارجي أو رابط بمخطط غير مدعوم تم التلاعب به، تقوم الإضافة بتمرير هدف الرابط الذي تم فك تشفيره إلى مساعد فتح ملفات Windows. يقوم هذا المساعد باستدعاء الدالة
child process.exec() باستخدام الأمر start مما يجعل cmd.exe يفسر رموز shell الميتا في الهدف كفاصلات للأوامر. يتيح ذلك تنفيذ أوامر يختارها المهاجم بصلاحيات مستخدم Visual Studio Code الحالي.Recommendations
التحديث إلى الإصدار 0.8.28.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾