CVE-2026-73052
KrytyczneCVSS 9.0Streszczenie
SiYuan przed wersją v3.7.4 przechowuje nazwy pól widoku atrybutów bez kodowania HTML i interpoluje je bezpośrednio do elementów option przez innerHTML w menu sortowania. Atakujący mogą wstrzyknąć znaczniki, zmieniając nazwę pola bazy danych, aby wykonać dowolny JavaScript, gdy użytkownik otworzy menu sortowania, a włączona integracja Node w kliencie desktop umożliwia wykonanie kodu.
Ocena ryzyka
Atakujący może wykonać dowolny kod w kontekście klienta desktop, co może prowadzić do przejęcia sesji, kradzieży danych lub pełnej kompromitacji systemu.
Rekomendacja
Zaktualizuj SiYuan do wersji v3.7.4 lub nowszej, która zawiera poprawkę kodowania HTML dla nazw pól widoku atrybutów.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 stores attribute-view field names without HTML escaping and interpolates them directly into option elements via innerHTML in the sort menu. Attackers can inject markup by renaming a database field to execute arbitrary JavaScript when users open the sort menu, with Node integration enabled in the desktop client enabling code execution.