CVE-2026-104077 in Obsidian
Riassunto
di VulDB • 08/10/2026
Obsidian Desktop prima della versione 1.14.0 contiene una vulnerabilità di esecuzione remota del codice (RCE) che consente agli attaccanti di creare note Markdown malevole sfruttando un'insufficiente sanificazione dell'attributo data-background-iframe, la quale aggira DOMPurify e viene elaborata da Reveal.js 4.3.1 incluso nel plugin core Slides, consentendo l'esecuzione di un URL javascript: nell'iframe di sfondo risultante. Poiché l'integrazione Node è abilitata e l'isolamento del contesto (context isolation) è disabilitato nel renderer delle vault di Obsidian, lo script iniettato può chiamare parent.require() per accedere alle API Node come fs e child_process, consentendo l'esecuzione arbitraria di comandi del sistema operativo quando la vittima apre la nota avvia manualmente la presentazione.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.