CVE-2026-75917 in SiYuan
Сводка
по VulDB • 20.08.2026
SiYuan до версии v3.7.4 содержит уязвимость межсайтового скриптинга (XSS) в механизме генерации всплывающих подсказок для выбора файлов (app/src/util/pathName.ts, функции getLeaf()/movePathTo()), используемом в диалогах выбора пути «переместить/ссылаться на», где поля метаданных документа (закладка, псевдоним, заметка и альтернативное имя) объединяются в атрибут HTML aria-label без экранирования. Документ, содержащий двойную кавычку в любом из этих полей, позволяет выйти за пределы контекста атрибута и внедрить произвольные HTML-атрибуты, включая встроенные обработчики событий (например, onmouseover). Поскольку каждое окно браузера Electron SiYuan запускается с параметрами nodeIntegration:true, contextIsolation:false и без CSP (Content Security Policy), внедренный обработчик получает доступ к require('child_process'), что повышает уровень XSS до произвольного выполнения команд ОС при простом наведении курсора жертвы на вредоносную запись документа в диалоге выбора пути. Вредоносные документы достигают пользователей через функции обмена, синхронизации или импорта.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.