Codigo Markdown Editor 1.0.1 Electron Ejecución Arbitraria de Código a través de un Archivo Markdown

Un atacante podría explotar esta vulnerabilidad creando un archivo Markdown malicioso que contenga un video fuente con un evento onerror. Cuando un usuario abre este archivo en Codigo Markdown Editor, el evento onerror se dispara, ejecutando comandos del sistema arbitrarios a través del módulo Node.js child_process. Esto podría permitir al atacante tomar el control del sistema, acceder a datos sensibles, instalar malware o realizar otras acciones maliciosas. La ejecución de código arbitrario representa un riesgo significativo para la confidencialidad, integridad y disponibilidad del sistema afectado. La vulnerabilidad se basa en la falta de validación adecuada de la entrada del usuario, permitiendo la inyección de código malicioso.

Developers and organizations using Codigo Markdown Editor, particularly those who allow users to upload or open markdown files from untrusted sources, are at significant risk. Systems with weak input validation or insufficient security controls are especially vulnerable. Shared hosting environments where multiple users have access to the same Codigo Markdown Editor instance are also at increased risk.

• nodejs / server:

ps aux | grep 'child_process' | grep 'markdown'

• nodejs / server:

journalctl -u codigo-markdown-editor -f | grep -i "onerror"

• generic web: Inspect markdown files for suspicious video source attributes (e.g., onerror=...) and embedded JavaScript code.

1. 2025-12-18Disclosure

   disclosure

1. Reservado2025-12-16
2. Publicada2025-12-18
3. Modificada2026-04-07
4. EPSS actualizado2026-03-23

La mitigación principal para esta vulnerabilidad es actualizar Codigo Markdown Editor a una versión corregida que solucione el problema de ejecución de código. Si la actualización no es inmediatamente posible, se recomienda evitar la apertura de archivos Markdown de fuentes no confiables. Como medida temporal, se podría considerar la implementación de reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan patrones sospechosos en archivos Markdown. Además, se recomienda revisar los permisos del usuario que ejecuta Codigo Markdown Editor para limitar el impacto potencial de la ejecución de código. Verifique después de la actualización que el evento onerror no se active al abrir archivos Markdown legítimos.