CVE-2026-75916 in SiYuan
Resumen
por VulDB • 2026-08-19
SiYuan hasta la versión 3.7.3 contiene una vulnerabilidad de cross-site scripting (XSS) en el popup de sugerencias del autocompletado para las referencias de bloques '(('. En genHintItemHTML() (app/src/protyle/hint/extend.ts), los campos nombre, alias y memo de un bloque candidato se concatenan directamente en el HTML del popup sin realizar escape. Un atacante que pueda establecer estos metadatos en un bloque puede inyectar una payload autoejecutable (por ejemplo, <img src=x onerror=...>) que se ejecuta automáticamente cuando una víctima escribe '((' seguido de un término de búsqueda que muestra el bloque manipulado. Dado que las ventanas Electron de SiYuan se ejecutan con nodeIntegration habilitado, contextIsolation deshabilitado y sin CSP (Content Security Policy), el script inyectado obtiene acceso a require('child_process'), lo que permite escalar la XSS para lograr la ejecución arbitraria de comandos del sistema operativo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.