CVE-2026-75917 in SiYuan
Zusammenfassung
von VulDB • 20.08.2026
SiYuan vor Version v3.7.4 enthält eine Cross-Site-Scripting (XSS)-Schwachstelle bei der Generierung von Hover-Tipps im Dateibaum-Picker (app/src/util/pathName.ts, getLeaf()/movePathTo()), die in den Pfadauswahl-Dialogen „Verschieben/Verknüpfen mit“ verwendet wird. Dabei werden Dokument-Metadatenfelder (Lesezeichen, Alias, Notiz und ein alternatives Namensfeld) ohne Escaping in das HTML-Attribut aria-label konkateniert. Ein Dokument, das in einem dieser Felder ein doppeltes Anführungszeichen enthält, bricht aus dem Attributkontext aus und injiziert beliebige HTML-Attribute, einschließlich Inline-Ereignishandlern (z. B. onmouseover). Da jedes SiYuan Electron BrowserWindow mit nodeIntegration:true, contextIsolation:false und ohne CSP ausgeführt wird, erhält der injizierte Handler Zugriff auf require('child_process'), wodurch das XSS bei bloßem Überfahren des bösartigen Dokumenteintrags im Pfadauswahl-Dialog in eine beliebige OS-Befehlsausführung eskaliert. Bösartige Dokumente erreichen Opfer über Freigabe, Synchronisierung oder Import.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.