CVE-2026-104078

WysokieCVSS 7.8

Opublikowano: 08/10/2026(UTC)Zaktualizowano: 12/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.17%

Percentyl 6 - wyżej niż 6% wszystkich znanych CVE

Streszczenie

Obsidian Desktop przed wersją 1.14.0 zawiera podatność na obejście filtra w komponencie MathJax 3.2.2 Safe, która pozwala atakującym na wykonanie dowolnego kodu przez osadzenie spreparowanej wartości \href z bajtem TAB w schemacie URL, powodując, że filterURL generuje pusty protokół, który omija ograniczenia safeProtocols. Atakujący mogą stworzyć notatkę ze złośliwą formułą MathJax, która renderuje się jako kotwica javascript: URL, a po kliknięciu przez ofiarę w Live Preview wykonuje się w rendererze skarbca z włączoną integracją Node przez require('child_process'), osiągając wykonanie dowolnych poleceń systemu operacyjnego jako użytkownik pulpitu.

Ocena ryzyka

Ryzyko obejmuje wykonanie dowolnego kodu na komputerze ofiary, co może prowadzić do pełnej kompromitacji systemu i danych.

Rekomendacja

Zaleca się aktualizację Obsidian Desktop do wersji 1.14.0 lub nowszej, która zawiera poprawkę.

Inne podatności w Obsidian Desktop

CVE-2026-104077Wysokie
Obsidian Desktop przed wersją 1.14.0 zawiera podatność na zdalne wykonanie kodu, która pozwala atakującym na tworzenie złośliwych notatek Markdown wykorzystujących niedostateczną sanityzację atrybutu data-background-iframe, która omija DOMPurify i jest przetwarzana przez dołączony Reveal.js 4.3.1 w podstawowym pluginie Slides, pozwalając na wykonanie javascript: URL w wynikowym iframe tła. Ponieważ integracja Node jest włączona, a izolacja kontekstu wyłączona w rendererze skarbca Obsidian, wstrzyknięty skrypt może wywołać parent.require() w celu dostępu do API Node, takich jak fs i child_process, umożliwiając wykonanie dowolnych poleceń systemu operacyjnego, gdy ofiara otworzy notatkę i ręcznie uruchomi prezentację.

Oryginalny opis (angielski, źródło NVD)

Obsidian Desktop before 1.14.0 contains a filter bypass vulnerability in the bundled MathJax 3.2.2 Safe component that allows attackers to execute arbitrary code by embedding a crafted \href value with a TAB byte in the URL scheme, causing filterURL to produce an empty protocol that bypasses the configured safeProtocols restrictions. Attackers can craft a note containing a malicious MathJax formula that renders as a javascript: URL anchor, which when clicked by the victim in Live Preview executes in the Node-integration-enabled vault renderer via require('child_process'), achieving arbitrary operating system command execution as the desktop user.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS