VNote: Stored XSS über YAML-Frontmatter führt zu lokalem Dateizugriff und Datenabfluss
Zusammenfassung
VNote, eine Anwendung für Markdown-Notizen, fügt YAML-Frontmatter-Metadaten per innerHTML in die Seite ein, bevor die Bereinigung läuft. Eine präparierte Markdown-Notiz kann dadurch JavaScript im lokalen file://-Viewer-Kontext ausführen. Da lokale Inhalte auf entfernte URLs zugreifen dürfen, kann das Skript erreichbare lokale Notizdateien lesen und nach dem Öffnen der Notiz an einen entfernten Server senden.
Betroffen
- VNote-Versionen vor 4.3.0
- Versionen vor 4.2.0: Unbekannt
Behoben in
- VNote 4.3.0 (Fix-Commit 7371efd)
Umgehung
- Kein Workaround des Herstellers bekannt. Auf 4.3.0 oder neuer aktualisieren.
Ausnutzung
- CISA SSVC: Ausnutzungsstatus 'poc' (Proof of Concept verfügbar), nicht automatisierbar.
- Keine Hinweise auf Ausnutzung in freier Wildbahn oder Eintrag im CISA-KEV-Katalog gefunden; vor Abschluss erneut prüfen.
Unsere Empfehlung
- VNote auf allen Arbeitsstationen auf 4.3.0 oder eine neuere Version aktualisieren.
- Installationen erfassen und Systeme priorisieren, die sensible Daten verarbeiten oder Notizen von externen Quellen, geteilten Notizbüchern oder Git-synchronisierten Notizbüchern Dritter öffnen.
- Keine unbekannten Markdown-Notizen öffnen, bis das Update eingespielt ist.
- Ungewöhnliche ausgehende Verbindungen des VNote-Prozesses überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Fix commit 7371efd github.com
- VNote release v4.3.0 github.com
- GitHub Security Advisory GHSA-vfhj-c636-h59x github.com
- OSV: CVE-2026-86016 osv.dev
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 16:30.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.