CVE-2026-104077
Təsvir
1.14.0 versiyasından əvvəlki Obsidian Desktop, hücumçulara data-background-iframe atributunun yetərsiz təmizlənməsindən istifadə edərək zərərli Markdown qeydləri yaratmağa imkan verən uzaqdan kodun icrası boşluğu ehtiva edir. Bu boşluq DOMPurify-ı yan keçir və Slides nüvə plaginindəki daxili Reveal.js 4.3.1 tərəfindən emal edilir ki, bu da nəticədə yaranan background iframe-də javascript: URL-nin icrasına şərait yaradır. Obsidian-ın vault render-ində Node inteqrasiyasının aktiv olması və kontekst izolyasiyasının söndürülmüş olması səbəbindən, injeksiya edilmiş skript fs və child_process kimi Node API-larına giriş üçün parent.require() funksiyasını çağıra bilər. Bu, qurban qeydi açdıqda və təqdimatı əllə başlatdıqda ixtiyari əməliyyat sistemi əmrlərinin icrasını mümkün edir.
Necə düzəltmək olar
- Obsidian Obsidian Desktop1.14.0 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| Obsidian Obsidian Desktop | v < 1.14.0 | 1.14.0 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.