🇰🇷 한글 설명
Visual Studio Code의 Markdown Preview Enhanced 확장 프로그램 0.8.30 미만 버전에서 발생하는 취약점입니다. 저장소에 포함된 .crossnote/head.html 파일을 검증 없이 읽어와 미리보기 웹뷰에 삽입함으로써, 악성 스크립트가 실행되어 확장 프로그램 호스트에 메시지를 보낼 수 있습니다.
💡 쉬운 설명
악성 코드가 담긴 마크다운 파일을 열기만 해도 해커가 작성한 스크립트가 자동으로 실행될 수 있는 보안 결함입니다. 이로 인해 사용자의 VS Code 환경에서 원치 않는 동작이 수행될 위험이 있습니다.
🇺🇸 원문 (English)
Markdown Preview Enhanced is a Markdown preview extension for Visual Studio Code. Prior to 0.8.30, Markdown Preview Enhanced reads repository-controlled .crossnote/head.html content and passes it through resolvePathsInHeader before inserting it into the head of the preview webview document without removing executable content. Script-capable markup executes while the document loads, before the React application and DOMPurify initialize, and can access acquireVsCodeApi to send messages from the webview to the extension host. Opening a Markdown preview in a malicious repository is sufficient to trigger the injected content, and no additional click within the notification or preview is required. This issue is fixed in version 0.8.30.
📍 영향받는 시스템
Markdown Preview Enhanced extension (version < 0.8.30)
⚔️ 공격 벡터
악성 .crossnote/head.html 파일이 포함된 저장소의 마크다운 미리보기를 여는 방식
🛡️ 대응 방법
Markdown Preview Enhanced 확장 프로그램을 0.8.30 버전 이상으로 업데이트하십시오.
🔧 검증 코드
설치된 확장 프로그램의 버전을 확인하여 0.8.30 미만인지 체크합니다.
code --list-extensions | grep markdown-preview-enhanced && code --list-extensions | grep markdown-preview-enhanced | xargs -I {} code --version | grep -A 1 'markdown-preview-enhanced'