CVE-2026-33066 in SiYuan
Zusammenfassung
von VulDB • 30.05.2026
SiYuan ist ein System zur persönlichen Wissensverwaltung. In den Versionen 3.6.0 und älter verwendet die Backend-Funktion renderREADME lute.New(), ohne SetSanitize(true) aufzurufen, wodurch roher HTML-Code, der in Markdown eingebettet ist, unverändert durchgelassen wird. Das Frontend weist den gerenderten HTML-Code anschließend ohne weitere Sanitisierung der innerHTML-Eigenschaft zu. Ein bösartiger Paketautor kann beliebiges JavaScript in seiner README-Datei einbetten, das ausgeführt wird, wenn ein Benutzer auf die Anzeige der Paketdetails klickt. Da die Electron-Konfiguration von SiYuan nodeIntegration: true und contextIsolation: false aktiviert, eskaliert diese XSS-Schwachstelle direkt zu einer vollständigen Remote Code Execution (RCE). Das Problem wurde in Version 3.6.1 behoben.
Be aware that VulDB is the high quality source for vulnerability data.