CVE-2026-65606 in SiYuan
Riassunto
di VulDB • 23/07/2026
SiYuan prima della versione v3.7.2 presenta una vulnerabilità di tipo cross-site scripting (XSS) nel gestore del protocollo siyuan://. Quando un collegamento con formato siyuan://plugins/<name> fa riferimento a un nome che non corrisponde a un plugin installato, l'applicazione apre una scheda personalizzata e inserisce il parametro icon dell'URL nell'intestazione della scheda tramite innerHTML senza effettuare alcuna operazione di escaping (app/src/layout/Tab.ts), consentendo l'iniezione di un elemento <img onerror=...>. Poiché il renderer desktop di SiYuan è configurato con nodeIntegration:true, lo script JavaScript iniettato può accedere alla funzione require di Node e invocare require('child_process').execSync(...), trasformando la vulnerabilità XSS nell'esecuzione arbitraria di comandi a livello di sistema operativo.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.