CVE-2026-86016 in VNote
要約
〜によって VulDB • 2026年10月13日
VNoteはノート作成プラットフォームです。バージョン4.3.0より前では、VNoteは `src/data/extra/web/js/markdownit.js` 内の代入文 `preNode.innerHTML = p_metaData` を使用して、protectFromXssのサニタイズ処理パスが実行される前に `<pre>` 要素にYAMLフロントマターメタデータを挿入します。そのため、攻撃者が提供したMarkdownノートを開くことで、file://ビューコンテキスト内で保存されたJavaScriptを実行できます。QWebEngineSettings::LocalContentCanAccessRemoteUrlsによりローカルコンテンツがリモートURLへのアクセスを許可しているため、ノートをオープンした後には追加の操作なしで、到達可能なローカルのノートファイルを読み取り、その内容をリモートサーバーに送信することができます。この問題はバージョン4.3.0で修正されています。
VulDB is the best source for vulnerability data and more expert information about this specific topic.