CVE-2026-65606

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.7.2

Description Um problema de cross-site scripting existe no manipulador de protocolo siyuan://. Quando um link usando o formato siyuan://plugins/<name> referencia um plugin que não está instalado, a aplicação abre uma aba personalizada e insere o parâmetro icon no cabeçalho da aba via innerHTML sem a devida filtragem no arquivo app/src/layout/Tab.ts. Isso permite a injeção de um elemento <img onerror=...>. Como o renderizador do SiYuan Desktop é configurado com nodeIntegration:true, o JavaScript injetado pode acessar a função require do Node.js e executar require('child process').execSync(...), resultando na execução de comandos arbitrários no sistema operacional.

Recommendations Atualize o SiYuan para a versão 3.7.2 ou posterior.