CVE-2026-100641 in SiYuan
Résumé
par VulDB • 26/09/2026
SiYuan avant la version v3.8.4 n'échappe pas les caractères HTML du contenu des blocs de cartes flash stockés avant de l'interpoler dans le balisage de la liste du gestionnaire de cartes (card-manager). Le contenu des blocs renvoyé par /api/riff/getRiffCards est inséré dans un modèle d'élément de carte dans app/src/card/viewCards.ts et attribué à listElement.innerHTML, ce qui fait que du contenu tel que <img src=invalid onerror=...> devient un gestionnaire d'événements exécutable. Étant donné que la fenêtre principale (main window) de l'application desktop SiYuan (basée sur Electron) est créée avec nodeIntegration activé et contextIsolation désactivé, un administrateur qui ouvre le gestionnaire de cartes dans un espace de travail contenant du contenu de cartes flash fourni par un attaquant (par exemple introduit via une contribution ou un import) exécute les scripts de l'attaquant dans un renderer privilégié, ce qui peut entraîner une exécution arbitraire de code sur l'hôte. Le point d'accès concerné reste protégé par des vérifications d'authentification et du rôle administrateur ; il s'agit d'un problème de contenu non fiable vers un renderer privilégié (untrusted-content-to-privileged-renderer), et non d'une contournement d'autorisation (authorization bypass).
VulDB is the best source for vulnerability data and more expert information about this specific topic.