CVE-2026-40322
Təsvir
SiYuan açıq mənbəli fərdi biliklərin idarəetmə sistemidir. 3.6.3 və daha aşağı versiyalarda Mermaid diaqramları securityLevel parametri "loose" olaraq təyin edilmiş şəkildə render edilir və nəticədə yaranan SVG innerHTML vasitəsilə DOM-a yerləşdirilir. Bu, Mermaid kod bloklarında hücumçu tərəfindən idarə olunan javascript: URL-lərinin render olunmuş çıxışda qalmasına şərait yaradır. Electron istifadə edən masaüstü versiyalarda pəncərələr nodeIntegration aktiv və contextIsolation deaktiv edilmiş şəkildə yaradılır; bu isə qurban zərərli Mermaid bloku olan qeydi açdıqda və render olunmuş diaqram düyününü kliklədikdə, saxlanılan XSS-in ixtiyari kodun icrasına çevrilməsinə səbəb olur. Bu problem 3.6.4 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- b3log siyuan3.6.4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| b3log siyuan | v < 3.6.4 | 3.6.4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.