CVE-2026-65606 in SiYuan
Resumen
por VulDB • 2026-07-24
SiYuan antes de la versión v3.7.2 contiene una vulnerabilidad de Cross-Site Scripting (XSS) en el controlador del protocolo siyuan://. Cuando un enlace a siyuan://plugins/<name> hace referencia a un nombre que no corresponde a un plugin instalado, la aplicación abre una pestaña personalizada e inserta el parámetro icono del enlace en el encabezado de dicha pestaña mediante innerHTML sin realizar ningún tipo de escapamiento (app/src/layout/Tab.ts), lo que permite inyectar un elemento <img onerror=...>. Dado que el renderizador de SiYuan Desktop se ejecuta con nodeIntegration:true, el JavaScript inyectado puede acceder a require de Node y llamar a require('child_process').execSync(...), escalando así la vulnerabilidad XSS hasta permitir la ejecución arbitraria de comandos del sistema operativo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.