CVE-2026-75916 in SiYuan
Sumário
de VulDB • 19/08/2026
SiYuan até a versão 3.7.3 contém uma vulnerabilidade de cross-site scripting (XSS) na janela pop-up de sugestão de autocompletar do bloco '((block-reference). Em genHintItemHTML() (app/src/protyle/hint/extend.ts), os campos nome, alias e memo de um bloco candidato são concatenados no HTML da janela pop-up sem escape. Um atacante que possa definir esses metadados em um bloco pode injetar uma payload auto-executável (por exemplo, <img src=x onerror=...>) que é executada automaticamente quando a vítima digita '(( seguido de um termo de pesquisa que exiba o bloco manipulado. Como as janelas Electron do SiYuan são executadas com nodeIntegration habilitado, contextIsolation desabilitado e sem CSP (Content Security Policy), o script injetado obtém acesso ao require('child_process'), permitindo que o XSS seja escalonado para execução arbitrária de comandos no sistema operacional.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.