„`html
Zusammenfassung
CVE-2026-49492 ist eine kritische Schwachstelle in Markdown Preview Enhanced vor Version 0.8.28, die eine Befehlsausführung auf Windows-Systemen ermöglicht. Die Vulnerabilität entsteht durch unzureichende Validierung und unsichere Shell-Ausführung von Benutzereingaben aus Markdown-Dokumenten. Ein CVSS-Score von 8.8 kennzeichnet die hohe Kritikalität dieser Sicherheitslücke.
Betroffene Systeme
Markdown Preview Enhanced in Versionen vor 0.8.28 auf Windows-Betriebssystemen sind direkt gefährdet. Andere Plattformen können ebenfalls betroffen sein, wobei Windows aufgrund der Shell-Interpreterlogik das höchste Angriffsrisiko trägt. Betroffen sind Systeme, auf denen die Extension in VS Code oder kompatiblen Editoren aktiv genutzt wird.
Technische Details
Die Schwachstelle basiert auf der Unsicherheit in der Verarbeitung mehrerer Eingabeparameter: Diagram-Dateinamen, importierte Dateipfade und LaTeX-Engine-Attribute werden direkt an die Shell weitergeleitet, ohne vorherige Validierung oder Escaping. Ein Angreifer kann speziell präparierte Markdown-Dateien mit eingebetteten Shell-Kommandos erstellen. Beim Öffnen der Vorschau werden diese Befehle mit Systemrechten des aktuellen Benutzers ausgeführt, was zu vollständigem Systemkompromiss führen kann.
Die fehlende Input-Sanitization ermöglicht Command Injection durch Sonderzeichen und Shell-Metacharakter in kritischen Attributen.
Empfohlene Massnahmen
Sofortmassnahmen: Update auf Version 0.8.28 oder später durchführen, die Input-Validierung und sichere Argument-Übergabe implementiert. Bis zum Update sollten vertrauensunwürdige Markdown-Dateien nicht mit Vorschau geöffnet werden.
Längerfristig: Implementierung von Content Security Policies, Deaktivierung der Preview-Funktion für externe Dateien, regelmässige Extension-Updates überwachen.
Bewertung
Mit CVSS 8.8 und Network-Angriffsvektor stellt diese Schwachstelle eine ernsthafte Bedrohung dar. Die einfache Ausnutzbarkeit durch Markdown-Dateien erhöht das Infektionsrisiko erheblich, insbesondere in kollaborativen Umgebungen mit Dateiaustauch. Ein zeitnaher Patch ist essentiell.
„`