Podatności Logseq

Logseq udostępnia procedurę IPC, która pozwala procesowi renderera na wykonywanie poleceń powłoki. Mimo listy dozwolonych poleceń (np. git, pandoc, grep), argumenty są łączone z poleceniem i przekazywane do child_process.spawn z opcją shell: true, co umożliwia ominięcie listy dozwolonych za pomocą metaznaków powłoki. Atakujący z możliwością wykonania JavaScript w rendererze (np. przez XSS lub złośliwy plugin) może wykonać dowolne polecenia powłoki z uprawnieniami procesu Logseq, prowadząc do zdalnego wykonania kodu na hoście.

Logseq jest podatny na obejście sandbaksa, w którym wtyczki działające w izolowanych ramkach iframe mogą wstrzykiwać dowolne atrybuty HTML (np. procedury obsługi zdarzeń) do elementu kontenera w głównym DOM. Z powodu wyłączonej polityki CSP, złośliwa wtyczka może wykonać dowolny JavaScript w uprzywilejowanym kontekście hosta, potencjalnie uzyskując nieautoryzowany dostęp do API systemu plików. Podatność potwierdzono w wersji v0.10.15; status innych wersji jest nieznany.

Logseq jest podatny na trwałe ataki XSS. Złośliwy plugin może umieścić kod JavaScript w polu "name" pliku package.json, które jest renderowane przez innerHTML bez odpowiedniego oczyszczania, co pozwala na wykonanie dowolnego kodu w kontekście hosta.

Skrypt preload Electron w Logseq udostępnia metodę API, która pozwala procesowi renderera na wywoływanie procedur IPC bez odpowiedniej walidacji ścieżki. Atakujący z możliwością wykonania JavaScript w rendererze (np. przez XSS lub złośliwy plugin) może odczytywać, zapisywać lub usuwać dowolne pliki w systemie użytkownika. Podatność została potwierdzona w wersji v0.10.15, status innych wersji jest nieznany.