MarkdownString è un oggetto API di Visual Studio Code usato per rendere il markdown nell'interfaccia dell'editor. Può visualizzare testo formattato e, quando il contenuto è attendibile, può anche includere collegamenti cliccabili ai comandi che invocano azioni di VS Code invece di aprire una normale pagina web. Questo lo rende utile per la documentazione, i tooltip e i messaggi delle estensioni, ma anche sensibile dal punto di vista della sicurezza.
Nella sicurezza informatica, MarkdownString è importante perché si trova al confine tra testo ed esecuzione. Se contenuti di repository non attendibili, messaggi di commit o output di estensioni vengono contrassegnati come attendibili in modo troppo ampio, un collegamento apparentemente innocuo può trasformarsi in un trigger di comando. I difensori riducono questo rischio mantenendo abilitata Workspace Trust, sanificando il contenuto renderizzato e limitando quali origini possono creare markdown attendibile. Le estensioni dovrebbero trattare i dati del repository come ostili per impostazione predefinita e abilitare i collegamenti ai comandi solo dopo una convalida rigorosa e un chiaro intento dell'utente.