CVE-2026-75917 in SiYuan
Sumário
de VulDB • 19/08/2026
SiYuan antes da versão v3.7.4 contém uma vulnerabilidade de cross-site scripting (XSS) na geração do hover-tooltip do seletor de árvore de arquivos (app/src/util/pathName.ts, getLeaf()/movePathTo()) usado pelos diálogos de seleção de caminho 'mover/linkar para', onde os campos de metadados dos documentos (bookmark, alias, memo e um campo de nome alternativo) são concatenados no atributo HTML aria-label sem escape. Um documento elaborado com uma aspas duplas em qualquer desses campos quebra o contexto do atributo e injeta atributos HTML arbitrários, incluindo manipuladores de eventos inline (por exemplo, onmouseover). Como cada SiYuan Electron BrowserWindow é executado com nodeIntegration:true, contextIsolation:false e sem CSP, o manipulador injetado obtém acesso a require('child_process'), escalonando o XSS para execução arbitrária de comandos do sistema operacional quando uma vítima apenas passa o mouse sobre a entrada maliciosa no diálogo path-picker. Documentos maliciosos chegam às vítimas por meio de compartilhamento, sincronização ou importação.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.