CVE-2026-86016

WysokieCVSS 8.2

Opublikowano: 13/10/2026(UTC)Zaktualizowano: 16/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.22%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

VNote przed wersją 4.3.0 używa przypisania innerHTML do wstawienia metadanych YAML przed uruchomieniem ochrony przed XSS. Otwarcie złośliwego pliku Markdown może wykonać zapisany JavaScript w kontekście przeglądarki plików, a dzięki ustawieniu LocalContentCanAccessRemoteUrls skrypt może odczytać lokalne pliki notatek i wysłać je na zdalny serwer.

Ocena ryzyka

Atakujący może wykraść zawartość lokalnych notatek użytkownika, jeśli ten otworzy złośliwy plik, co może prowadzić do wycieku poufnych informacji.

Rekomendacja

Zaleca się aktualizację VNote do wersji 4.3.0 lub nowszej, która zawiera poprawkę.

Inne podatności w VNote

CVE-2026-86022Wysokie
VNote przed wersją 4.3.0 zawiera podatność, w której ścieżka notatki jest umieszczana w podwójnych cudzysłowach i podstawiana do polecenia, które jest ponownie parsowane przez QProcess::start. Na Linuksie i macOS atakujący może użyć cudzysłowu w nazwie pliku, aby dodać argumenty do skonfigurowanego programu zewnętrznego, co może prowadzić do wykonania dowolnych poleceń.

Oryginalny opis (angielski, źródło NVD)

VNote is a note-taking platform. Prior to 4.3.0, VNote uses the assignment `preNode.innerHTML = p_metaData` in src/data/extra/web/js/markdownit.js to insert YAML frontmatter metadata into a pre element before the protectFromXss sanitization path runs. Opening an attacker-supplied Markdown note can therefore execute stored JavaScript in the file:// viewer context. Because QWebEngineSettings::LocalContentCanAccessRemoteUrls enables local content to access remote URLs, the script can read reachable local note files and transmit their contents to a remote server without further interaction after the note is opened. This issue is fixed in version 4.3.0.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS