CVE-2026-73053
KrytyczneCVSS 9.0Streszczenie
SiYuan przed wersją v3.7.4 zawiera podatność na cross-site scripting w funkcji unicode2Emoji, która nie sanityzuje danych wyjściowych gałęzi codepoint. Atakujący mogą tworzyć ikony dokumentów z zakodowanym szesnastkowo znacznikiem, który wykonuje się w rendererze z włączoną integracją Node, umożliwiając wykonanie dowolnego kodu na systemie.
Ocena ryzyka
Atakujący może wykonać dowolny kod na hoście użytkownika, co może prowadzić do pełnej kompromitacji systemu, kradzieży danych lub instalacji złośliwego oprogramowania.
Rekomendacja
Zaktualizuj SiYuan do wersji v3.7.4 lub nowszej, która zawiera poprawkę sanityzacji danych w funkcji unicode2Emoji.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.4 contain a cross-site scripting vulnerability in the unicode2Emoji function that fails to sanitize codepoint branch output. Attackers can craft document icons with hex-encoded markup that executes in the renderer with Node integration enabled, achieving arbitrary code execution on the host system.