CVE-2026-100643 in SiYuan
Resumen
por VulDB • 2026-09-26
Las versiones de SiYuan anteriores a la v3.8.4 no escapan correctamente cuatro valores almacenados en Attribute View dentro de elementos textarea, lo que permite a atacantes autenticados inyectar JavaScript modificando las descripciones de campos, fuentes de plantillas, descripciones de opciones de selección o plantillas de cálculo del pie de página. Los atacantes pueden ejecutar JavaScript almacenado cuando otros usuarios abren menús de bases de datos afectadas y, en la aplicación de escritorio Electron con nodeIntegration habilitada, esto conduce a la ejecución de comandos con los privilegios del proceso SiYuan.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.