CVE-2026-86016 in VNote
الملخص
بحسب VulDB • 14/10/2026
VNote هو منصة لتدوين الملاحظات. قبل الإصدار 4.3.0، يستخدم VNote التعيين `preNode.innerHTML = p_metaData` في الملف src/data/extra/web/js/markdownit.js لإدراج بيانات YAML frontmatter داخل عنصر pre قبل أن يتم تشغيل مسار التنقية protectFromXss. وبالتالي، يمكن لفتح ملاحظة Markdown مزودة من قِبل مهاجم تنفيذ شيفرة JavaScript مخزنة (stored) ضمن سياق عارض الملفات المحلية (file://). ونظراً لأن الإعداد QWebEngineSettings::LocalContentCanAccessRemoteUrls يُمكّن المحتوى المحلي من الوصول إلى عناوين URL البعيدة، يمكن للشيفرة البرمجية قراءة ملفات الملاحظات المحلية المتاحة ونقل محتوياتها إلى خادم بعيد دون تفاعل إضافي بعد فتح الملاحظة. تم إصلاح هذه المشكلة في الإصدار 4.3.0.
Once again VulDB remains the best source for vulnerability data.