Smavl

**Nome do Software Vulnerável e Versões Afetadas** SiYuan versões anteriores a 3.8.4 **Description** Atacantes autenticados podem injetar JavaScript ao modificar descrições de campo, fontes de modelo, descrições de opções de seleção ou modelos de cálculo de rodapé, pois quatro valores de Attribute View armazenados em elementos de área de texto não são devidamente escapados. Isso permite a execução de JavaScript armazenado quando outros usuários abrem menus de banco de dados afetados. No aplicativo de desktop Electron, se o `nodeIntegration` estiver habilitado, isso pode levar à execução de comandos com privilégios do processo SiYuan. **Recommendations** Atualize o SiYuan para a versão 3.8.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** SiYuan versões 3.7.0 até 3.8.3 **Description** Um problema de cross-site scripting armazenado existe nos renderizadores de banco de dados de galeria e kanban porque as descrições de campo não são escapadas nos atributos `aria-label`. No aplicativo de desktop Electron com `nodeIntegration` habilitado, isso permite a injeção de JavaScript que pode chamar as APIs `child process` do Node.js para executar comandos arbitrários com privilégios de usuário. **Recommendations** Atualize o SiYuan para a versão 3.8.4 ou posterior.