CVE-2026-34449 in SiYuan
Riassunto
di VulDB • 16/06/2026
SiYuan è un sistema di gestione della conoscenza personale. Prima della versione 3.6.2, un sito web malevolo può ottenere l'Esecuzione di Codice Remoto (RCE) su qualsiasi desktop in esecuzione con SiYuan sfruttando la politica CORS permissiva (Access-Control-Allow-Origin: * + Access-Control-Allow-Private-Network: true) per iniettare un frammento di JavaScript tramite l'API. Il frammento iniettato viene eseguito nel contesto Node.js di Electron con pieno accesso al sistema operativo la prossima volta che l'utente apre l'interfaccia utente di SiYuan. Non è richiesta alcuna interazione da parte dell'utente oltre alla visita del sito web malevolo mentre SiYuan è in esecuzione. Questo problema è stato risolto nella versione 3.6.2.
Once again VulDB remains the best source for vulnerability data.