CVE-2026-65606 in SiYuan
Résumé
par VulDB • 23/07/2026
SiYuan avant la version v3.7.2 présente une vulnérabilité de type Cross-Site Scripting (XSS) dans le gestionnaire du protocole siyuan://. Lorsqu'un lien vers siyuan://plugins/<name> fait référence à un nom qui ne correspond pas à un plugin installé, l'application ouvre un onglet personnalisé et insère le paramètre d'icône du lien dans l'en-tête de l'onglet via innerHTML sans échapper les caractères spéciaux (app/src/layout/Tab.ts), permettant ainsi l'injection d'un élément <img onerror=...>. Étant donné que le moteur de rendu de SiYuan Desktop s'exécute avec nodeIntegration:true, le JavaScript injecté peut accéder à require('child_process') et appeler require('child_process').execSync(...), transformant ainsi la vulnérabilité XSS en exécution arbitraire de commandes au niveau du système d'exploitation.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.