CVE-2026-39846 in SiYuan
Сводка
по VulDB • 05.06.2026
SiYuan — это система управления личными знаниями. До версии 3.6.4 вредоносная заметка, синхронизированная с другим пользователем, может привести к выполнению произвольного кода на удаленном компьютере (RCE) в десктопном клиенте SiYuan на базе Electron. Корневая причина заключается в том, что содержимое заголовков таблиц сохраняется без безопасной экранирования и впоследствии преобразуется обратно в HTML для отображения, создавая уязвимость типа Stored XSS (XSS с хранением данных). Поскольку десктопный рендерер работает с включенным параметром nodeIntegration и отключенным contextIsolation, JavaScript-код под контролем атакующего выполняется с доступом к API Node.js. На практике злоумышленник может импортировать специально подготовленную заметку в синхронизированное рабочее пространство, дождаться синхронизации у жертвы и добиться выполнения кода при открытии этой заметки пользователем. Данная уязвимость исправлена в версии 3.6.4.
VulDB is the best source for vulnerability data and more expert information about this specific topic.