CVE-2026-73043
KrytyczneCVSS 9.0Streszczenie
SiYuan przed wersją v3.7.4 zawiera podatność na zdalne wykonanie kodu w operatorze obliczeń szablonu, który renderuje szablony Go tworzone przez użytkownika i przechowuje dane wyjściowe bez sanityzacji. Atakujący mogą wstrzyknąć złośliwy HTML i JavaScript do obliczeń szablonu, które wykonują się w rendererze klienta desktop z włączoną integracją Node, umożliwiając wykonanie dowolnego kodu po otwarciu bazy danych.
Ocena ryzyka
Atakujący może wykonać dowolny kod na komputerze użytkownika, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych lub przejęcia kontroli nad aplikacją.
Rekomendacja
Zaktualizuj SiYuan do wersji v3.7.4 lub nowszej, która zawiera poprawkę sanityzacji danych wyjściowych z obliczeń szablonu.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.4 contain a remote code execution vulnerability in the Template calculation operator, which renders user-authored Go templates and stores output verbatim without sanitization. Attackers can inject malicious HTML and JavaScript into template calculations that execute in the desktop client renderer with Node integration enabled, allowing arbitrary code execution when the database is opened.