CVE-2026-9279

Nome do Software Vulnerável e Versões Afetadas Logseq versão 0.10.15

Description Uma falha de injeção de comando de SO existe no manipulador IPC, que permite que o processo de renderização execute comandos de shell. Embora uma lista de permissões restrinja os nomes dos comandos a ferramentas específicas como git, pandoc e grep, a string de argumentos é concatenada com o comando e passada para a função child process.spawn() com a opção shell: true. Essa configuração permite que metacaracteres de shell nos argumentos ignorem a lista de permissões. Um invasor capaz de executar JavaScript no renderizador, como por meio de Cross-Site Scripting (XSS) no conteúdo de notas ou um plugin malicioso, pode executar comandos de shell arbitrários com os privilégios do processo Logseq, resultando em execução remota de código no host.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.