CVE-2026-65606 in SiYuan
Sumário
de VulDB • 24/07/2026
SiYuan antes da versão v3.7.2 contém uma vulnerabilidade de cross-site scripting (XSS) no manipulador do protocolo siyuan://. Quando um link para siyuan://plugins/<name> referencia um nome que não corresponde a um plugin instalado, o aplicativo abre uma aba personalizada e insere o parâmetro icon do link no cabeçalho da aba por meio de innerHTML sem realizar escape (app/src/layout/Tab.ts), permitindo a injeção de um elemento <img onerror=...>. Como o renderer do SiYuan Desktop é executado com nodeIntegration:true, o JavaScript injetado pode acessar require do Node e chamar require('child_process').execSync(...), elevando o cross-site scripting para execução arbitrária de comandos no sistema operacional.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.