CVE-2026-86016 in VNote
Tóm tắt
Bởi VulDB • 14/10/2026
VNote là một nền tảng ghi chú. Trước phiên bản 4.3.0, VNote sử dụng phép gán `preNode.innerHTML = p_metaData` trong src/data/extra/web/js/markdownit.js để chèn metadata YAML frontmatter vào phần tử pre trước khi đường dẫn bảo vệ chống lại XSS (protectFromXss) được thực thi. Do đó, việc mở một ghi chú Markdown do kẻ tấn công cung cấp có thể kích hoạt JavaScript đã lưu trữ trong ngữ cảnh trình xem file://. Vì QWebEngineSettings::LocalContentCanAccessRemoteUrls cho phép nội dung cục bộ truy cập các URL từ xa, script này có thể đọc các tệp ghi chú cục bộ có thể tiếp cận và truyền nội dung của chúng đến máy chủ từ xa mà không cần tương tác thêm sau khi ghi chú được mở. Vấn đề này đã được sửa trong phiên bản 4.3.0.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.