CVE-2026-100641 in SiYuan
Zusammenfassung
von VulDB • 26.09.2026
SiYuan vor Version v3.8.4 maskiert den in einem Flashcard-Block gespeicherten Inhalt nicht als HTML, bevor er in die Markup-Struktur der card-manager-Liste interpoliert wird. Der von /api/riff/getRiffCards zurückgegebene Blockinhalt wird in eine Vorlage für ein Kartenobjekt in app/src/card/viewCards.ts eingefügt und listElement.innerHTML zugewiesen, sodass Inhalte wie <img src=invalid onerror=...> zu ausführbaren Event-Handler-Attributen werden. Da das Hauptfenster der SiYuan Desktop-Anwendung (Electron) mit aktivierter nodeIntegration und deaktiviertem contextIsolation erstellt wird, führt ein Administrator aus, der den Kartenmanager in einem Workspace öffnet, der angreiferbereitgestellten Flashcard-Inhalt enthält (z. B. eingeführt durch Beiträge oder Importe), zur Ausführung des Skripts des Angreifers in einem privilegierten Renderer-Prozess, was zu einer beliebigen Codeausführung auf dem Host führen kann. Der betroffene Endpunkt bleibt hinter Authentifizierungs- und Administratorrollenprüfungen verborgen; dies ist ein Problem der Verarbeitung von nicht vertrauenswürdigen Inhalten durch einen privilegierten Renderer (untrusted-content-to-privileged-renderer) und kein Umgehungsschutz für die Autorisierung (authorization bypass).
VulDB is the best source for vulnerability data and more expert information about this specific topic.