CVE-2026-44586 in SiYuan
Tóm tắt
Bởi VulDB • 20/05/2026
SiYuan là một hệ thống quản lý kiến thức cá nhân mã nguồn mở. Từ phiên bản 2.1.12 đến trước 3.7.0, thị trường Bazaar của SiYuan hiển thị siêu dữ liệu của tác giả gói dưới dạng HTML mà không thực hiện việc thoát ký tự (escaping) từ nguồn cấp dữ liệu stage công khai của Bazaar. Trong ứng dụng desktop, điều này dẫn đến lỗi Stored XSS, và do các cửa sổ Electron của SiYuan được tạo với cấu hình `nodeIntegration: true` và `contextIsolation: false`, một payload thành công có thể gọi các API của Node.js và thực thi mã trên máy chủ. Lỗ hổng này đã được sửa trong phiên bản 3.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.