CVE-2026-42090 — 神龙十问 AI 深度分析摘要

🚨 **本质**：存储型 XSS 导致远程代码执行 (RCE)。 💥 **后果**：攻击者可在桌面端执行任意系统命令，彻底接管用户设备。

🔍 **CWE-79**：HTML 转义缺失。 📍 **缺陷点**：导出笔记时，标题/内容未过滤直接注入 `iframe.srcdoc`，且 iframe **无沙箱保护**。

📦 **受影响版本**： - Web/桌面端：< 3.3.15 - iOS/Android：< 3.3.20 🏢 **厂商**：Streetwriters (Notesnook)。

🔓 **权限**：桌面端拥有 **Node.js 集成权限**。 📂 **数据**：可读取本地文件、执行恶意脚本，实现 **远程代码执行 (RCE)**。

⚠️ **门槛**：中等。 - 需用户交互（UI:R）。 - 需触发导出流程。 - 桌面端需配置 `nodeIntegration: true`（默认或常见配置）。

🚫 **Exp/PoC**：数据中未提供公开 PoC 或 **在野利用** 报告。 🔒 目前主要依赖厂商修复。

🔎 **自查特征**： 1. 检查 Notesnook 版本是否低于修复版。 2. 审查 Electron 配置：`nodeIntegration` 是否开启？ 3. 扫描导出 HTML 模板是否包含未转义用户输入。

✅ **已修复**： - 桌面/Web 升级至 **3.3.15+**。 - 移动端升级至 **3.3.20+**。 🔗 参考 GitHub Release 及安全公告。

🛡️ **临时规避**： 1. **禁用 Node 集成**：设置 `nodeIntegration: false`。 2. **启用上下文隔离**：设置 `contextIsolation: true`。 3. 避免导出包含可疑内容的笔记。

🔥 **优先级：极高 (Critical)**。 💡 **建议**：桌面端用户 **立即升级**！此漏洞可直接导致 RCE，危害极大，无需等待 PoC 曝光。