CVE-2026-54158
KrytyczneCVSS 9.9Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.0 pozwala na wstrzyknięcie kodu JavaScript przez specjalnie spreparowaną wartość w komórce widoku atrybutów (bazy danych). Atakujący z dostępem do zapisu w zsynchronizowanym obszarze roboczym może umieścić złośliwą treść, która po otwarciu panelu atrybutów przez ofiarę wykonuje dowolny kod JavaScript. W wersji desktopowej na Electronie, gdzie włączone jest nodeIntegration, atak może eskalować do zdalnego wykonania kodu (RCE) przez require('child_process').
Ocena ryzyka
Ryzyko obejmuje przejęcie kontroli nad stacją roboczą ofiary (RCE) oraz rozprzestrzenienie się złośliwej treści na wszystkie urządzenia synchronizujące dany obszar roboczy.
Rekomendacja
Należy niezwłocznie zaktualizować SiYuan do wersji 3.7.0 lub nowszej. W międzyczasie ograniczyć dostęp do zapisu w obszarach roboczych oraz unikać otwierania paneli atrybutów z nieznanych źródeł.
Powiązane podatności
- CVE-2026-105215Krytyczne
ZITADEL przed wersją 3.4.14 oraz 4.x przed 4.16.2 zawiera obejście uwierzytelniania w hostowanym interfejsie Login V1, ponieważ punkt końcowy rejestracji 'external account not found' ufa dostarczonym przez klienta polom tożsamości zewnętrznej bez ukończonego wywołania zwrotnego IdP. Nieuwierzytelnieni atakujący mogą przesłać sfałszowane wartości IDPConfigID i ExternalUserID, aby wstępnie utworzyć konto powiązane z tożsamością zewnętrznego IdP ofiary, do którego późniejsze autentyczne logowanie zewnętrzne ofiary uzyska dostęp.
- CVE-2026-105209Krytyczne
ZITADEL 3.x przed 3.4.15 oraz 4.x przed 4.17.1 zawiera podatność nieprawidłowej autoryzacji: przy wydawaniu kodów rejestracji passkey lub logowania bez hasła sprawdza tylko organizację w nagłówku x-zitadel-orgid, a nie organizację docelowego użytkownika. Atakujący z uprawnieniami do zapisu użytkownika w jednej organizacji może uzyskać kod rejestracji dla użytkownika w innej organizacji w tej samej instancji i zarejestrować własny uwierzytelniacz, aby przejąć to konto.
- CVE-2026-105207Krytyczne
ZITADEL 3.0.0 do 3.4.15 oraz 4.0.0 przed 4.17.3 tworzy powiązania między kontami użytkowników a zewnętrznymi dostawcami tożsamości bez weryfikacji czynnika podstawowego lub uprawnień wywołującego, w tym w sesjach Login V2 typu identify-only oraz przez punkt końcowy User Service V2 AddIDPLink. Nieuwierzytelniony atakujący znający login ofiary może powiązać własną tożsamość zewnętrznego IdP z kontem ofiary, a następnie zalogować się jako ofiara.
- CVE-2026-103355Krytyczne
Wtyczka Unlimited Elements For Elementor do wersji 2.0.20 zawiera podatność na ślepą iniekcję SQL. Atakujący może wykorzystać ten błąd do manipulacji zapytaniami do bazy danych bez znajomości jej struktury.
- CVE-2026-105135Krytyczne
W systemie InternLM MindSearch 0.1.0 wykryto podatność na iniekcję kodu w funkcji ExecutionAction.run w pliku mindsearch/agent/graph.py. Atak może być przeprowadzony zdalnie, a szczegóły exploit zostały publicznie ujawnione.
- CVE-2026-105134Krytyczne
W systemie AhsayCBS do wersji 10.3.2 wykryto podatność na iniekcję poleceń systemu operacyjnego w pliku /rps/api/json/UpdateReceivers.do. Atak może być przeprowadzony zdalnie, a exploit został opublikowany. Aktualizacja do wersji 10.3.4 rozwiązuje problem.
- CVE-2026-105105Krytyczne
Brak uwierzytelniania dla krytycznej funkcji w brokerze telemetrii i komend ait-server w NASA-AMMOS AIT-Core do wersji 3.1.1. Nieuwierzytelniony zdalny atakujący z dostępem do magistrali ZeroMQ może wstrzykiwać dane komend statku kosmicznego, wyciągać ruch komend i telemetrii, wstrzykiwać sfałszowaną telemetrię lub zakłócać działanie magistrali. Domyślnie gniazda XSUB i XPUB są powiązane ze wszystkimi interfejsami sieciowymi bez uwierzytelniania.
- CVE-2026-71885Krytyczne
W Bouncy Castle dla Java przed wersją 1.86, implementacja Messaging Layer Security (MLS, RFC 9420) nie wiązała poświadczenia X.509 z kluczem podpisu (signature_key) w węźle liścia (LeafNode). LeafNode.verify() sprawdzał podpis liścia względem klucza podpisu zawartego w samym liściu, podczas gdy łańcuch certyfikatów X.509 w poświadczeniu był przechowywany, ale nigdy nie analizowany ani walidowany, więc klucz publiczny certyfikatu końcowego nie musiał odpowiadać signature_key, jak wymaga RFC 9420 sek. 5.3. Atakujący mógł przedstawić cudzy certyfikat jako swoje poświadczenie, podpisując liść i zawierający go KeyPackage niezwiązanym kluczem, i zostać zaakceptowanym pod tożsamością ofiary przez KeyPackage.verify() oraz ścieżkę walidacji liści grupy.
- CVE-2026-92084Krytyczne
Wtyczka Beaver Builder Page Builder dla WordPressa do wersji 2.11.0.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Podatność wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Wykorzystanie wymaga strony z modułem Sidebar zawierającym widget wyświetlający tekst kontrolowany przez atakującego, np. widget Recent Comments z zatwierdzonym komentarzem.
- CVE-2026-87115Krytyczne
Wtyczka VikAppointments Services Booking Calendar dla WordPressa do wersji 1.2.21 włącznie jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżki w funkcji extract. Umożliwia to nieuwierzytelnionym atakującym usuwanie dowolnych plików na serwerze, co może prowadzić do zdalnego wykonania kodu (np. po usunięciu pliku wp-config.php). Wykorzystanie wymaga opublikowania przynajmniej jednego pola niestandardowego typu File na stronie potwierdzenia.
Oryginalny opis (angielski, źródło NVD)
SiYuan is an open-source personal knowledge management system. Prior to 3.7.0, the attribute-view (database) cell renderer genAVValueHTML interpolates cell content raw in four of its branches: text, url, phone, and mAsset. A cell value like </textarea><img src=x onerror="..."> or "><img src=x onerror="..."> breaks out of its surrounding tag and runs arbitrary JavaScript in the renderer when the victim opens the block-attribute panel. On Electron desktop the renderer runs with nodeIntegration:true, so the XSS chains to host RCE via require('child_process'). AV files live under the workspace and ride normal sync, so an attacker with write access to any synced workspace plants the payload once and it fires on every device that opens a panel containing that row.he kernel doesn't escape on the way in either, so the malicious cell persists byte-for-byte. There's no equivalent of the html.EscapeAttrVal call that protects block IAL attributes at kernel/model/blockial.go:261. This vulnerability is fixed in 3.7.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS