Markdown Preview Enhanced: OS-Command-Injection über Vorschau-Links unter Windows
Zusammenfassung
Markdown Preview Enhanced, eine Markdown-Vorschau-Erweiterung für Visual Studio Code, übergibt Linkziele aus Markdown-Dateien an einen Windows-Hilfsprozess, der den Befehl über cmd.exe ausführt. Unter Windows kann ein Angreifer, wenn ein Benutzer eine nicht vertrauenswürdige Markdown-Datei öffnet und einen präparierten externen oder nicht unterstützten Link anklickt, einen frei wählbaren Befehl mit den Rechten des aktuellen VS-Code-Benutzers ausführen. Für die Ausnutzung genügt ein Klick in der Vorschau; Skriptausführung oder manipulierte Workspace-Einstellungen sind nicht erforderlich.
Betroffen
- shd101wyy vscode-markdown-preview-enhanced Versionen vor 0.8.28 unter Windows
Behoben in
- Version 0.8.28 (Links und Dateien werden ohne Shell geöffnet)
Umgehung
- Unbekannt.
Ausnutzung
- Keine Hinweise auf eine Ausnutzung in freier Wildbahn gefunden.
- CISA SSVC: Exploitation none, Automatable no, Technical Impact total.
- Kein öffentlicher Exploit gefunden.
Unsere Empfehlung
- Die Visual-Studio-Code-Erweiterung auf die neueste Version aktualisieren, mindestens auf 0.8.28.
- Unter Windows Arbeitsstationen mit installierter Erweiterung identifizieren, insbesondere Entwickler-Endgeräte.
- Bis zur Aktualisierung keine Markdown-Dateien aus nicht vertrauenswürdigen Quellen öffnen und keine Links in deren Vorschau anklicken.
- Auf unerwartete, von Code.exe gestartete Kindprozesse achten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-7v6f-3vq6-r373 github.com
- Fix commit in vscode-markdown-preview-enhanced github.com
- Pull request #2318 github.com
- Release 0.8.28 github.com
- Upstream crossnote commit 5588ca2 github.com
- Upstream crossnote pull request #442 github.com
- CVE record summary (Vulners) vulners.com
- OpenCVE CVE-2026-54525 app.opencve.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:40.
Referenzen der NVD (7)
- https://github.com/shd101wyy/crossnote/commit/5588ca2121c3da43fe331575dc5cf4ef347b91ee
- https://github.com/shd101wyy/crossnote/pull/442
- https://github.com/shd101wyy/crossnote/releases/tag/0.9.29
- https://github.com/shd101wyy/vscode-markdown-preview-enhanced/commit/dcd80281c986293b93d9f1af34ced64dcb230c77
- https://github.com/shd101wyy/vscode-markdown-preview-enhanced/pull/2318
- https://github.com/shd101wyy/vscode-markdown-preview-enhanced/releases/tag/0.8.28
- https://github.com/shd101wyy/vscode-markdown-preview-enhanced/security/advisories/GHSA-7v6f-3vq6-r373
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.