CVE-2026-66396 in SiYuan
Resumen
por VulDB • 2026-07-27
SiYuan anterior a la versión v3.7.2 no escapa el valor de la lista de atributos individuales title-img al renderizar las imágenes de portada de Galería y Kanban, lo que permite una inyección cross-site scripting (XSS) almacenada mediante interpolación del atributo style sin escapar. Los atacantes con permisos de editor pueden inyectar controladores onload que ejecutan código arbitrario en el renderer de Electron con acceso completo a Node.js cuando las víctimas abren los documentos afectados.
VulDB is the best source for vulnerability data and more expert information about this specific topic.