CVE-2026-47900
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Logseq jest podatny na trwałe ataki XSS. Złośliwy plugin może umieścić kod JavaScript w polu "name" pliku package.json, które jest renderowane przez innerHTML bez odpowiedniego oczyszczania, co pozwala na wykonanie dowolnego kodu w kontekście hosta.
Ocena ryzyka
Atakujący może wykonać dowolny kod JavaScript w kontekście przeglądarki ofiary, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków.
Rekomendacja
Zaleca się natychmiastowe zablokowanie lub usunięcie podejrzanych pluginów oraz oczekiwanie na oficjalną łatkę od producenta.
Inne podatności w Logseq
Zobacz wszystkie- CVE-2026-9279Wysokie
Logseq udostępnia procedurę IPC, która pozwala procesowi renderera na wykonywanie poleceń powłoki. Mimo listy dozwolonych poleceń (np. git, pandoc, grep), argumenty są łączone z poleceniem i przekazywane do child_process.spawn z opcją shell: true, co umożliwia ominięcie listy dozwolonych za pomocą metaznaków powłoki. Atakujący z możliwością wykonania JavaScript w rendererze (np. przez XSS lub złośliwy plugin) może wykonać dowolne polecenia powłoki z uprawnieniami procesu Logseq, prowadząc do zdalnego wykonania kodu na hoście.
- CVE-2026-47901Średnie
Logseq jest podatny na obejście sandbaksa, w którym wtyczki działające w izolowanych ramkach iframe mogą wstrzykiwać dowolne atrybuty HTML (np. procedury obsługi zdarzeń) do elementu kontenera w głównym DOM. Z powodu wyłączonej polityki CSP, złośliwa wtyczka może wykonać dowolny JavaScript w uprzywilejowanym kontekście hosta, potencjalnie uzyskując nieautoryzowany dostęp do API systemu plików. Podatność potwierdzono w wersji v0.10.15; status innych wersji jest nieznany.
- CVE-2026-47899Wysokie
Skrypt preload Electron w Logseq udostępnia metodę API, która pozwala procesowi renderera na wywoływanie procedur IPC bez odpowiedniej walidacji ścieżki. Atakujący z możliwością wykonania JavaScript w rendererze (np. przez XSS lub złośliwy plugin) może odczytywać, zapisywać lub usuwać dowolne pliki w systemie użytkownika. Podatność została potwierdzona w wersji v0.10.15, status innych wersji jest nieznany.
Oryginalny opis (angielski, źródło NVD)
Logseq is vulnerable to a stored cross-site scripting (XSS). A malicious plugin can include a JavaScript payload in the "name" field of its "package.json" file, which is rendered using "innerHTML" without proper sanitization, allowing the execution of arbitrary code in the privileged host context. While only version v0.10.15 was tested and confirmed as vulnerable, status of other versions is unknown since this issue was not addressed by a patch.