CVE-2026-47901
ŚrednieCVSS 4.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Logseq jest podatny na obejście sandbaksa, w którym wtyczki działające w izolowanych ramkach iframe mogą wstrzykiwać dowolne atrybuty HTML (np. procedury obsługi zdarzeń) do elementu kontenera w głównym DOM. Z powodu wyłączonej polityki CSP, złośliwa wtyczka może wykonać dowolny JavaScript w uprzywilejowanym kontekście hosta, potencjalnie uzyskując nieautoryzowany dostęp do API systemu plików. Podatność potwierdzono w wersji v0.10.15; status innych wersji jest nieznany.
Ocena ryzyka
Podatność umożliwia złośliwej wtyczce wykonanie dowolnego kodu w kontekście hosta, co może prowadzić do pełnej kompromitacji systemu plików i danych użytkownika.
Rekomendacja
Zachowaj ostrożność przy instalacji wtyczek Logseq; rozważ użycie tylko zaufanych wtyczek do czasu wydania oficjalnej łatki.
Inne podatności w Logseq
Zobacz wszystkie- CVE-2026-9279Wysokie
Logseq udostępnia procedurę IPC, która pozwala procesowi renderera na wykonywanie poleceń powłoki. Mimo listy dozwolonych poleceń (np. git, pandoc, grep), argumenty są łączone z poleceniem i przekazywane do child_process.spawn z opcją shell: true, co umożliwia ominięcie listy dozwolonych za pomocą metaznaków powłoki. Atakujący z możliwością wykonania JavaScript w rendererze (np. przez XSS lub złośliwy plugin) może wykonać dowolne polecenia powłoki z uprawnieniami procesu Logseq, prowadząc do zdalnego wykonania kodu na hoście.
- CVE-2026-47900Średnie
Logseq jest podatny na trwałe ataki XSS. Złośliwy plugin może umieścić kod JavaScript w polu "name" pliku package.json, które jest renderowane przez innerHTML bez odpowiedniego oczyszczania, co pozwala na wykonanie dowolnego kodu w kontekście hosta.
- CVE-2026-47899Wysokie
Skrypt preload Electron w Logseq udostępnia metodę API, która pozwala procesowi renderera na wywoływanie procedur IPC bez odpowiedniej walidacji ścieżki. Atakujący z możliwością wykonania JavaScript w rendererze (np. przez XSS lub złośliwy plugin) może odczytywać, zapisywać lub usuwać dowolne pliki w systemie użytkownika. Podatność została potwierdzona w wersji v0.10.15, status innych wersji jest nieznany.
Oryginalny opis (angielski, źródło NVD)
Logseq is vulnerable to a sandbox escape flaw where plugins running in sandboxed iframes can inject arbitrary HTML attributes, such as event handlers, into their container element in the host DOM. Due to a disabled Content Security Policy (CSP), this allows a malicious plugin to execute arbitrary JavaScript in the privileged host context, potentially gaining unauthorized access to filesystem APIs. While only version v0.10.15 was tested and confirmed as vulnerable, status of other versions is unknown since this issue was not addressed by a patch.