Markdown Preview Enhanced: Remote Code Execution über .crossnote-Konfigurationsdateien
Zusammenfassung
Markdown Preview Enhanced, eine Erweiterung für Visual Studio Code zur Vorschau von Markdown-Dateien, wertet die repository-kontrollierten Dateien .crossnote/config.js und .crossnote/parser.js in einer Umgebung aus, die keine Sicherheitsgrenze darstellt. Ein Angreifer, der ein Repository kontrolliert, kann über Prototype-Chain-Traversierung auf den Host-Prozess zugreifen und Betriebssystembefehle unter dem Konto des Opfers ausführen. Für die Ausnutzung genügt es, dass das Opfer eine Markdown-Datei aus dem manipulierten Repository öffnet.
Betroffen
- shd101wyy vscode-markdown-preview-enhanced vor 0.8.29
Behoben in
- Version 0.8.29 oder neuer (enthält crossnote 0.9.30 mit einer QuickJS-WebAssembly-Sandbox)
Umgehung
Unbekannt. Der Hersteller hat keine Workaround-Massnahme veröffentlicht.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus poc, automatisierbar nein, technische Auswirkung total
- Nicht im CISA-KEV-Katalog aufgeführt
- Keine bestätigte Ausnutzung in freier Wildbahn bekannt
Unsere Empfehlung
- Endpunkte, einschliesslich Remote-Entwicklungsumgebungen und Devcontainer, auf die Erweiterung prüfen
- Erweiterung auf Version 0.8.29 oder neuer aktualisieren
- Bis zur Aktualisierung die Erweiterung auf Systemen deaktivieren, die nicht vertrauenswürdige Repositories öffnen
- Markdown-Dateien aus unbekannten Repositories nicht in Visual Studio Code öffnen
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- GitHub Security Advisory GHSA-427h-jhpr-8jch github.com
- Release 0.8.29 (vscode-markdown-preview-enhanced) github.com
- Fix commit (vscode-markdown-preview-enhanced) github.com
- crossnote release 0.9.30 github.com
- ProjectDiscovery write-up projectdiscovery.io
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 10:33.
Referenzen der NVD (8)
- https://github.com/shd101wyy/crossnote/commit/e4890d64502e53b717cce0cb73f1a78b244dc640
- https://github.com/shd101wyy/crossnote/pull/443
- https://github.com/shd101wyy/crossnote/releases/tag/0.9.30
- https://github.com/shd101wyy/vscode-markdown-preview-enhanced/commit/0d4010988c6ae56a38c6dec4a7509cbd5a7dcb4c
- https://github.com/shd101wyy/vscode-markdown-preview-enhanced/pull/2320
- https://github.com/shd101wyy/vscode-markdown-preview-enhanced/releases/tag/0.8.29
- https://github.com/shd101wyy/vscode-markdown-preview-enhanced/security/advisories/GHSA-427h-jhpr-8jch
- https://github.com/shd101wyy/vscode-markdown-preview-enhanced/security/advisories/GHSA-427h-jhpr-8jch
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.