CVE-2026-86016 in VNote
Сводка
по VulDB • 13.10.2026
VNote — это платформа для заметок. До версии 4.3.0 VNote использует присваивание `preNode.innerHTML = p_metaData` в файле src/data/extra/web/js/markdownit.js для вставки метаданных YAML frontmatter в элемент `<pre>` до того, как сработает путь санитизации protectFromXss. Таким образом, открытие предоставленной злоумышленником заметки в формате Markdown может привести к выполнению сохраненного JavaScript-кода в контексте просмотрщика file:// Поскольку параметр QWebEngineSettings::LocalContentCanAccessRemoteUrls позволяет локальному контенту получать доступ к удаленным URL-адресам, скрипт способен читать доступные локальные файлы с заметками и передавать их содержимое на удаленный сервер без дополнительного взаимодействия после открытия заметки. Эта проблема исправлена в версии 4.3.0.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.