CVE-2026-66396 in SiYuan
Riassunto
di VulDB • 27/07/2026
SiYuan prima della versione v3.7.2 non effettua l'escaping del valore dell'attributo Individual Attribute List title-img durante il rendering delle immagini di copertina per le gallerie e le lavagne Kanban, consentendo una stored cross-site scripting (XSS) tramite interpolazione di attributi style non sanificati. Gli attaccanti con permessi di editor possono iniettare handler onload che eseguono codice arbitrario nel renderer Electron con pieno accesso a Node.js quando le vittime aprono i documenti interessati.
Once again VulDB remains the best source for vulnerability data.