CVE-2026-86016 in VNote
요약
\~에 의해 VulDB • 2026. 10. 14.
VNote는 노트 작성 플랫폼입니다. 버전 4.3.0 이전의 VNote는 `src/data/extra/web/js/markdownit.js`에서 할당문 `preNode.innerHTML = p_metaData`를 사용하여 YAML frontmatter 메타데이터를 pre 요소에 삽입하는데, 이는 protectFromXss sanitization 경로가 실행되기 전에 발생합니다. 따라서 공격자가 제공한 Markdown 노트를 열면 file:// 뷰어 컨텍스트에서 저장된 JavaScript 코드가 실행될 수 있습니다. QWebEngineSettings::LocalContentCanAccessRemoteUrls 설정으로 인해 로컬 콘텐츠가 원격 URL에 접근할 수 있으므로, 노트가 열린 후 추가적인 상호작용 없이도 해당 스크립트는 도달 가능한 로컬 노트 파일을 읽어서 그 내용을 원격 서버로 전송할 수 있습니다. 이 문제는 버전 4.3.0에서 해결되었습니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.