CVE-2026-44670
Qu'est-ce que CVE-2026-44670 ?
SiYuan est un système open source de gestion des connaissances personnelles. Avant la version 3.7.0, le noyau stockait les noms de vue d'attribut (AV/base de données) sans aucun échappement HTML, puis un modèle de rendu utilisait des chaînes brutes.ReplaceAll(tpl, "${avName}", nodeAvName) pour intégrer le nom en HTML avant de le transmettre à tous les clients via WebSocket. Trois chemins clients indépendants (render.ts:120 → externalHTML, Title.ts:401 → innerHTML, transaction.ts:559 → innerHTML) consomment la valeur sans s'échapper. Parce que la fenêtre principale de BrowserWindow exécute nodeIntegration:true, contextIsolation:false, webSecurity:false (app/electron/main.js:407-411), HTML
FAQ
CVE-2026-44670 a un score CVSS de N/D/10, évalué comme Inconnu. Consultez la liste des produits affectés et appliquez les correctifs du fournisseur.
Le CVSS (Common Vulnerability Scoring System) évalue la gravité des vulnérabilités de 0,0 à 10,0. CVE-2026-44670 obtient N/D/10 (Inconnu). Les scores de 9,0–10,0 sont Critiques, 7,0–8,9 Élevés, 4,0–6,9 Moyens et inférieurs à 4,0 Faibles.
La liste des appareils confirmés comme étant affectés par CVE-2026-44670 est indiquée dans la section "Appareils affectés" ci-dessus. Comparez votre version de firmware avec l'avis de sécurité du fournisseur et appliquez le dernier correctif.
Appliquez la dernière mise à jour du firmware ou du logiciel du fournisseur. Consultez la section Références ci-dessus pour les avis officiels et les notes de correctif. Si aucun correctif n'est disponible, envisagez de désactiver la fonctionnalité affectée ou d'isoler l'appareil des réseaux non fiables.