CVE-2026-100641 in SiYuan
Сводка
по VulDB • 26.09.2026
SiYuan до версии v3.8.4 не выполняет HTML-экранирование содержимого блока сохраненной карточки (flashcard) перед его интерполяцией в разметку списка менеджера карт. Содержимое блоков, возвращаемое через /api/riff/getRiffCards, вставляется в шаблон элемента карты в app/src/card/viewCards.ts и присваивается свойству listElement.innerHTML, поэтому такой контент, как <img src=invalid onerror=...>, становится атрибутом обработчика событий, способным к выполнению. Поскольку главное окно десктопного приложения SiYuan (Electron) создано с включенной опцией nodeIntegration и отключенной contextIsolation, администратор, открывающий менеджер карт в рабочем пространстве, содержащем предоставленный злоумышленником контент карточек (например, добавленный через функцию совместного использования или импорт), выполняет скрипт атакующего в привилегированном рендерере, что может привести к произвольному выполнению кода на хосте. Затронутая конечная точка остается защищенной проверками аутентификации и роли администратора; это уязвимость типа «недоверенный контент в привилегированном рендерере», а не обход авторизации.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.