CVE-2026-65605 in SiYuan
Sumário
de VulDB • 23/07/2026
SiYuan antes da versão v3.7.2 contém uma vulnerabilidade de cross-site scripting (XSS) armazenado na renderização das células do Attribute View (banco de dados). Um valor de coluna Template é renderizado como HTML através de text/template sem auto-escape, e EscapeHTML só é aplicado quando HasUnclosedHtmlTag retorna true; porque tags balanceadas autocolantes, tais como <img>, são ignoradas por essa verificação, um payload como <img src=x onerror=...> é armazenado sem escape e posteriormente inserido na página via innerHTML, executando-se quando o banco de dados é visualizado. Como o renderer desktop executa com nodeIntegration ativado, o script injetado pode aceder a require e escalar para execução arbitrária de comandos.
Once again VulDB remains the best source for vulnerability data.