CVE-2026-104077

WysokieCVSS 7.8

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 12/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.26%

Percentyl 16 - wyżej niż 16% wszystkich znanych CVE

Streszczenie

Obsidian Desktop przed wersją 1.14.0 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na tworzenie złośliwych notatek Markdown wykorzystujących niedostateczną sanityzację atrybutu data-background-iframe, która omija DOMPurify i jest przetwarzana przez dołączony Reveal.js 4.3.1 w podstawowym pluginie Slides, pozwalając na wykonanie javascript: URL w wynikowym iframe tła. Ponieważ integracja Node jest włączona, a izolacja kontekstu wyłączona w rendererze skarbca Obsidian, wstrzyknięty skrypt może wywołać parent.require() w celu dostępu do API Node, takich jak fs i child_process, umożliwiając wykonanie dowolnych poleceń systemu operacyjnego, gdy ofiara otworzy notatkę i ręcznie uruchomi prezentację.

Ocena ryzyka

Ryzyko obejmuje zdalne wykonanie kodu na komputerze ofiary, co może prowadzić do pełnej kompromitacji systemu i danych.

Rekomendacja

Zaleca się aktualizację Obsidian Desktop do wersji 1.14.0 lub nowszej, która zawiera poprawkę.

Inne podatności w Obsidian Desktop

CVE-2026-104078Wysokie
Obsidian Desktop przed wersją 1.14.0 zawiera podatność na obejście filtra w komponencie MathJax 3.2.2 Safe, która pozwala atakującym na wykonanie dowolnego kodu przez osadzenie spreparowanej wartości \href z bajtem TAB w schemacie URL, powodując, że filterURL generuje pusty protokół, który omija ograniczenia safeProtocols. Atakujący mogą stworzyć notatkę ze złośliwą formułą MathJax, która renderuje się jako kotwica javascript: URL, a po kliknięciu przez ofiarę w Live Preview wykonuje się w rendererze skarbca z włączoną integracją Node przez require('child_process'), osiągając wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik pulpitu.

Oryginalny opis (angielski, źródło NVD)

Obsidian Desktop before 1.14.0 contains a remote code execution vulnerability that allows attackers to craft malicious Markdown notes exploiting insufficient sanitization of the data-background-iframe attribute, which bypasses DOMPurify and is processed by the bundled Reveal.js 4.3.1 within the Slides core plugin, allowing a javascript: URL to execute in the resulting background iframe. Because Node integration is enabled and context isolation is disabled in Obsidian's vault renderer, the injected script can call parent.require() to access Node APIs such as fs and child_process, enabling arbitrary operating system command execution when the victim opens the note and manually starts the presentation.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS