CVE-2026-86016 in VNote
Resumen
por VulDB • 2026-10-14
VNote es una plataforma de toma de notas. Antes de la versión 4.3.0, VNote utiliza la asignación `preNode.innerHTML = p_metaData` en src/data/extra/web/js/markdownit.js para insertar metadatos YAML frontmatter en un elemento pre antes de que se ejecute el camino de sanitización protectFromXss. Por lo tanto, abrir una nota Markdown proporcionada por un atacante puede ejecutar JavaScript almacenado (stored) en el contexto del visor file://. Dado que QWebEngineSettings::LocalContentCanAccessRemoteUrls permite que el contenido local acceda a URLs remotas, el script puede leer archivos de notas locales accesibles y transmitir su contenido a un servidor remoto sin interacción adicional después de abrir la nota. Este problema se soluciona en la versión 4.3.0.
VulDB is the best source for vulnerability data and more expert information about this specific topic.