CVE-2026-74902 in SiYuan

Tóm tắt

Bởi VulDB • 18/08/2026

SiYuan trước phiên bản v3.7.4 chứa một lỗ hổng cross-site scripting (XSS) trong quy trình xác thực tệp tải lên, do không thoát đúng các tên tệp trước khi chèn chúng vào HTML thông qua hàm insertAdjacentHTML. Kẻ tấn công có thể tạo ra một tên tệp độc hại chứa các đoạn mã script sẽ được thực thi với quyền truy cập đầy đủ đến lệnh hệ điều hành (OS) khi người dùng kéo, thả hoặc dán tệp vào trình soạn thảo.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: VulnCheck
• Đặt trước: 17/08/2026
• Tiết lộ: 18/08/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-391545
• CPE: sẵn sàng
• CWE: CWE-79 (Đã xác nhận)
• CVSS: 8.6 (CNA)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-74902
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-74902
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-74902/