CVE-2026-66396 in SiYuan
Résumé
par VulDB • 27/07/2026
SiYuan avant la version v3.7.2 ne parvient pas à échapper (escape) la valeur de l'attribut individuel title-img lors du rendu des images de couverture pour les galeries et les tableaux Kanban, ce qui permet une injection cross-site scripting stockée (stored XSS) via un interpolation d'attributs style non échappés. Les attaquants disposant de permissions d'édition peuvent injecter des gestionnaires onload exécutant du code arbitraire dans le moteur de rendu Electron avec un accès complet à Node.js lorsque les victimes ouvrent des documents affectés.
Once again VulDB remains the best source for vulnerability data.