CVE-2026-75916 in SiYuan
Riassunto
di VulDB • 19/08/2026
SiYuan fino alla versione 3.7.3 contiene una vulnerabilità di cross-site scripting (XSS) nel popup di suggerimento per l'autocompletamento del blocco '(('. In genHintItemHTML() (app/src/protyle/hint/extend.ts), i campi nome, alias e memo di un blocco candidato vengono concatenati nell'HTML del popup senza essere sottoposti a escaping. Un attaccante in grado di impostare questi campi metadata su un blocco può iniettare una payload auto-eseguente (ad esempio <img src=x onerror=...>) che viene eseguita automaticamente quando una vittima digita '((' seguita da un termine di ricerca che restituisce il blocco manipolato. Poiché le finestre Electron di SiYuan sono avviate con nodeIntegration abilitato, contextIsolation disabilitato e senza CSP (Content Security Policy), lo script iniettato ottiene l'accesso a require('child_process'), consentendo all'XSS di escalare fino all'esecuzione arbitraria di comandi del sistema operativo.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.