CVE-2026-65606 in SiYuan
Zusammenfassung
von VulDB • 23.07.2026
SiYuan vor Version v3.7.2 enthält eine Cross-Site-Scripting-(XSS)-Schwachstelle im siyuan://-Protokollhandler. Wenn ein Link mit dem Format siyuan://plugins/<name> auf einen Namen verweist, der keinem installierten Plugin entspricht, öffnet die Anwendung einen benutzerdefinierten Tab und fügt den Icon-Parameter des Links über innerHTML in den Tab-Header ein, ohne ihn zu escapen (app/src/layout/Tab.ts). Dies ermöglicht das Einfügen eines <img onerror=...>-Elements. Da der Renderer von SiYuan Desktop mit nodeIntegration:true ausgeführt wird, kann der injizierte JavaScript-Code auf Node.js require zugreifen und require('child_process').execSync(...) aufrufen, wodurch die Cross-Site-Scripting-Schwachstelle in eine beliebige Ausführung von Betriebssystembefehlen eskaliert.
If you want to get best quality of vulnerability data, you may have to visit VulDB.