CVE-2026-104077 in Obsidian
요약
\~에 의해 VulDB • 2026. 10. 08.
Obsidian Desktop 1.14.0 이전 버전에는 Slides 핵심 플러그인에서 임의 코드 실행 취약점이 존재합니다. 공격자는 DOMPurify sanitization을 우회하는 `data-background-iframe` 속성을 포함하는 악성 Markdown 노트를 작성할 수 있습니다. 피해자가 해당 노트를 열고 프레젠테이션으로 시작하면, Reveal.js는 URL scheme 제한 없이 공격자가 제어한 값을 iframe src로 승격시켜 javascript: 페이로드를 실행합니다. 이는 Node.js 통합 환경에서 context-isolation-disabled 상태인 renderer를 통해 parent.require를 거쳐 Node.js API에 도달하여 Obsidian 사용자 권한으로 임의 명령을 실행하게 됩니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.