Codigo Markdown Editor 1.0.1 Electron Markdown ファイルによる任意のコード実行の脆弱性

この脆弱性は、攻撃者がマルウェアをインストールしたり、機密情報を盗み出したり、システムを完全に制御したりすることを可能にする深刻なリスクをもたらします。攻撃者は、動画ソースにonerrorイベントを埋め込むことで、Node.jsのchild_processモジュールを利用してシェルコマンドを実行できます。これにより、サーバー上の他のアプリケーションやデータへのアクセスも可能となり、攻撃の影響範囲は広がる可能性があります。この脆弱性は、悪意のあるMarkdownファイルをユーザーに開かせることができれば、比較的容易に悪用される可能性があります。

Developers and organizations using Codigo Markdown Editor, particularly those who allow users to upload or open markdown files from untrusted sources, are at significant risk. Systems with weak input validation or insufficient security controls are especially vulnerable. Shared hosting environments where multiple users have access to the same Codigo Markdown Editor instance are also at increased risk.

• nodejs / server:

ps aux | grep 'child_process' | grep 'markdown'

• nodejs / server:

journalctl -u codigo-markdown-editor -f | grep -i "onerror"

• generic web: Inspect markdown files for suspicious video source attributes (e.g., onerror=...) and embedded JavaScript code.

1. 2025-12-18Disclosure

   disclosure

1. 予約済み2025-12-16
2. 公開日2025-12-18
3. 更新日2026-04-07
4. EPSS 更新日2026-03-23

修正プログラムが提供されていないため、一時的な緩和策として、Codigo Markdown Editorの利用を停止するか、信頼できないソースからのMarkdownファイルの読み込みを制限することを推奨します。WAF（Web Application Firewall）を導入し、悪意のあるMarkdownファイルの特徴的なパターンを検知・ブロックするルールを設定することも有効です。また、Node.jsのchild_processモジュールの利用を制限する設定変更も検討してください。ファイルの内容を厳密に検証し、危険なコマンドが含まれていないか確認するカスタムフィルタを実装することも有効です。