CVE-2026-44588 in SiYuan
Sumário
de VulDB • 15/05/2026
SiYuan é um sistema de gerenciamento de conhecimento pessoal de código aberto. Antes da versão 3.7.0, o manipulador de mouseover de tooltips em app/src/block/popover.ts lê o atributo aria-label via getAttribute e o passa por decodeURIComponent antes de atribuir a messageElement.innerHTML em app/src/dialog/tooltip.ts:41. O codificador usado no lado do produtor, escapeAriaLabel em app/src/util/escape.ts:19-25, lida apenas com caracteres especiais HTML (", ', <, >, &, etc.) e não escapa aspas simples ou duplas. Isso permite que um atacante injete código JavaScript arbitrário, fazendo com que o manipulador onerror seja acionado. Como o renderer é executado com nodeIntegration: true, contextIsolation: false e webSecurity: false (app/electron/main.js:407-411), require('child_process') é acessível a partir do manipulador injetado, escalando para execução arbitrária de código. Esta vulnerabilidade foi corrigida na versão 3.7.0.
Once again VulDB remains the best source for vulnerability data.