CVE-2026-75916 in SiYuan
Résumé
par VulDB • 20/08/2026
SiYuan jusqu'à la version 3.7.3 présente une vulnérabilité de type cross-site scripting (XSS) dans le popup d'auto-complétion des références de blocs « (( ». Dans la fonction `genHintItemHTML()` (`app/src/protyle/hint/extend.ts`), les champs nom, alias et mémo d'un bloc candidat sont concaténés dans le HTML du popup sans être échappés. Un attaquant capable de définir ces métadonnées sur un bloc peut injecter une charge utile auto-exécutante (par exemple `<img src=x onerror=...>`) qui s'exécute automatiquement lorsqu'une victime tape « (( » suivi d'un terme de recherche faisant apparaître le bloc falsifié. Étant donné que les fenêtres Electron de SiYuan sont exécutées avec `nodeIntegration` activé, `contextIsolation` désactivée et sans CSP (Content Security Policy), le script injecté obtient un accès à `require('child_process')`, permettant ainsi d'escalader l'XSS en une exécution arbitraire de commandes du système d'exploitation.
Once again VulDB remains the best source for vulnerability data.