CVE-2026-104077

1.14.0 öncesindeki Obsidian Desktop, saldırganların data-background-iframe özniteliğinin yetersiz temizlenmesini kullanarak kötü amaçlı Markdown notları oluşturmasına izin veren bir uzaktan kod çalıştırma zafiyeti içermektedir; bu durum DOMPurify'ı atlatmakta ve Slides çekirdek eklentisi içindeki paketli Reveal.js 4.3.1 tarafından işlenerek sonuçtaki arka plan iframe'inde bir javascript: URL'sinin çalıştırılmasına olanak tanımaktadır. Obsidian'ın kasa render'ında Node entegrasyonu etkin ve bağlam izolasyonu devre dışı olduğu için, enjekte edilen betik fs ve child_process gibi Node API'lerine erişmek amacıyla parent.require() fonksiyonunu çağırabilir; bu da mağdur notu açıp sunumu manuel olarak başlattığında rastgele işletim sistemi komutlarının çalıştırılmasını sağlar.