CVE-2026-47899
WysokieCVSS 8.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Skrypt preload Electron w Logseq udostępnia metodę API, która pozwala procesowi renderera na wywoływanie procedur IPC bez odpowiedniej walidacji ścieżki. Atakujący z możliwością wykonania JavaScript w rendererze (np. przez XSS lub złośliwy plugin) może odczytywać, zapisywać lub usuwać dowolne pliki w systemie użytkownika. Podatność została potwierdzona w wersji v0.10.15, status innych wersji jest nieznany.
Ocena ryzyka
Ryzyko polega na możliwości pełnej kompromitacji systemu użytkownika poprzez zdalny dostęp do plików, co może prowadzić do kradzieży danych, instalacji złośliwego oprogramowania lub uszkodzenia systemu.
Rekomendacja
Zaleca się natychmiastowe zablokowanie dostępu do Logseq lub zastosowanie tymczasowych zabezpieczeń, takich jak wyłączenie nieznanych pluginów i skryptów, do czasu wydania oficjalnej łatki.
Inne podatności w Logseq
Zobacz wszystkie- CVE-2026-9279Wysokie
Logseq udostępnia procedurę IPC, która pozwala procesowi renderera na wykonywanie poleceń powłoki. Mimo listy dozwolonych poleceń (np. git, pandoc, grep), argumenty są łączone z poleceniem i przekazywane do child_process.spawn z opcją shell: true, co umożliwia ominięcie listy dozwolonych za pomocą metaznaków powłoki. Atakujący z możliwością wykonania JavaScript w rendererze (np. przez XSS lub złośliwy plugin) może wykonać dowolne polecenia powłoki z uprawnieniami procesu Logseq, prowadząc do zdalnego wykonania kodu na hoście.
- CVE-2026-47901Średnie
Logseq jest podatny na obejście sandbaksa, w którym wtyczki działające w izolowanych ramkach iframe mogą wstrzykiwać dowolne atrybuty HTML (np. procedury obsługi zdarzeń) do elementu kontenera w głównym DOM. Z powodu wyłączonej polityki CSP, złośliwa wtyczka może wykonać dowolny JavaScript w uprzywilejowanym kontekście hosta, potencjalnie uzyskując nieautoryzowany dostęp do API systemu plików. Podatność potwierdzono w wersji v0.10.15; status innych wersji jest nieznany.
- CVE-2026-47900Średnie
Logseq jest podatny na trwałe ataki XSS. Złośliwy plugin może umieścić kod JavaScript w polu "name" pliku package.json, które jest renderowane przez innerHTML bez odpowiedniego oczyszczania, co pozwala na wykonanie dowolnego kodu w kontekście hosta.
Oryginalny opis (angielski, źródło NVD)
The Electron preload script in Logseq exposes an API method that allows the renderer process to invoke IPC handlers without proper path validation. An attacker with JavaScript execution in the renderer (e.g. via XSS or a malicious plugin), can read, write, or delete arbitrary files on the user's system. While only version v0.10.15 was tested and confirmed as vulnerable, status of other versions is unknown since this issue was not addressed by a patch.