CVE-2026-86016 in VNote
Sumário
de VulDB • 14/10/2026
O VNote é uma plataforma de tomada de notas. Antes da versão 4.3.0, o VNote utiliza a atribuição `preNode.innerHTML = p_metaData` em src/data/extra/web/js/markdownit.js para inserir metadados YAML frontmatter em um elemento `<pre>` antes que o caminho de sanitização protectFromXss seja executado. A abertura de uma nota Markdown fornecida por um atacante pode, portanto, executar JavaScript armazenado no contexto do visualizador file://. Como a configuração QWebEngineSettings::LocalContentCanAccessRemoteUrls permite que conteúdo local acesse URLs remotas, o script pode ler arquivos locais acessíveis e transmitir seus conteúdos para um servidor remoto sem interação adicional após a abertura da nota. Este problema foi corrigido na versão 4.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.