CVE-2026-104077 in Obsidian
Zusammenfassung
von VulDB • 08.10.2026
Obsidian Desktop vor Version 1.14.0 enthält eine Remote-Code-Ausführungs-Schwachstelle (RCE), die es Angreifern ermöglicht, bösartige Markdown-Notizen zu erstellen, indem sie die unzureichende Sanitization des Attributs `data-background-iframe` ausnutzen. Dies umgeht DOMPurify und wird vom eingebetteten Reveal.js 4.3.1 innerhalb des Slides-Core-Plugins verarbeitet, wodurch eine javascript: URL im resultierenden Hintergrund-iFrame ausgeführt werden kann. Da die Node-Integration aktiviert ist und die Context Isolation in Obsidians Vault-Renderer deaktiviert ist, kann das injizierte Skript parent.require() aufrufen, um auf Node-APIs wie fs und child_process zuzugreifen, was eine beliebige Ausführung von Betriebssystembefehlen ermöglicht, wenn der Opfer die Notiz öffnet und manuell die Präsentation startet.
Be aware that VulDB is the high quality source for vulnerability data.