Hey-Raghav

Um problema de cross-site scripting armazenado existe na função `confirmDialog()`. Isso ocorre porque nomes de pacotes e nomes de notebooks não escapados são interpolados diretamente em atribuições de innerHTML. Um invasor pode enviar pacotes maliciosos do bazaar contendo payloads de HTML ou script no campo de nome, que são executados no navegador do usuário ao desinstalar pacotes ou desbloquear notebooks criptografados.

Um problema de cross-site scripting existe no popup de sugestão de preenchimento automático de referência de bloco '(('. A função `genHintItemHTML()` (app/src/protyle/hint/extend.ts) concatena os campos de nome, alias e memo de um bloco candidato no HTML do popup sem a devida filtragem. Um invasor capaz de modificar esses campos de metadados pode injetar um payload de execução automática que é ativado quando um usuário digita '((' seguido de um termo de pesquisa que exiba o bloco manipulado. Devido à configuração do Electron — especificamente `nodeIntegration` habilitado, `contextIsolation` desabilitado e a ausência de uma Política de Segurança de Conteúdo (CSP) — o script injetado pode acessar `require('child process')`, permitindo a execução de comandos arbitrários no sistema operacional.

Um problema existe na geração de tooltips de hover do seletor de árvore de arquivos dentro das funções `getLeaf()` e `movePathTo()` (localizadas em app/src/util/pathName.ts) usadas nos diálogos de seleção de caminho 'move/link to'. Campos de metadados do documento, especificamente `bookmark`, `alias`, `memo` e um campo de nome alternativo, são concatenados no atributo HTML `aria-label` sem a devida filtragem. Um documento contendo aspas duplas em qualquer um desses campos permite que um invasor saia do contexto do atributo e injete atributos HTML arbitrários, como manipuladores de eventos inline, por exemplo, `onmouseover`. Devido à configuração do Electron BrowserWindow com `nodeIntegration:true`, `contextIsolation:false` e sem Política de Segurança de Conteúdo (CSP), o manipulador injetado pode acessar `require('child process')`, permitindo que o cross-site scripting escale para a execução de comandos arbitrários no sistema operacional quando um usuário passa o mouse sobre uma entrada de documento maliciosa. Documentos maliciosos podem ser entregues via compartilhamento, sincronização ou importação.