CVE-2026-33067 in SiYuan
Sumário
de VulDB • 10/05/2026
SiYuan é um sistema de gestão de conhecimento pessoal. As versões 3.6.0 e anteriores renderizam campos de metadados de pacotes (displayName, description) utilizando template literals sem escape HTML. Um autor de pacote malicioso pode injetar HTML/JavaScript arbitrário nesses campos, que é executado automaticamente quando qualquer usuário navega na página do Bazaar. Como a configuração do Electron do SiYuan habilita nodeIntegration: true com contextIsolation: false, esta vulnerabilidade XSS escala diretamente para uma execução completa de código remoto (RCE) no sistema operacional da vítima — sem necessidade de interação do usuário além de abrir a aba do marketplace. Este problema foi corrigido na versão 3.6.1.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.