CVE-2026-54158

SiYuan açıq mənbəli şəxsi bilik idarəetmə sistemidir. 3.7.0 versiyasından əvvəl attribute-view (verilənlər bazası) hüceyrə rendereri genAVValueHTML öz dörd budağında — text, url, phone və mAsset — hüceyrə məzmununu birbaşa interpolyasiya edirdi. </textarea><img src=x onerror="..."> və ya "><img src=x onerror="..."> kimi hüceyrə dəyəri özünü əhatə edən teqdən çıxır və qurban blok-atribut panelini açdıqda rendererdə ixtiyari JavaScript icra edir. Electron masaüstündə renderer nodeIntegration:true ilə işlədiyindən XSS require('child_process') vasitəsilə hostda uzaqdan kodun icrasına zəncirlənir. AV faylları iş sahəsinin altında yerləşir və adi sinxronizasiya ilə ötürülür, buna görə hər hansı sinxronlaşdırılmış iş sahəsinə yazma icazəsi olan təcavüzkar yükü bir dəfə yerləşdirir və o, həmin sətri ehtiva edən paneli açan hər cihazda işə düşür. Kernel də daxil olan zaman qaçış simvolu əlavə etmir, buna görə zərərli hüceyrə bayt-bayt qalır. kernel/model/blockial.go:261 sətrində blok IAL atributlarını qoruyan html.EscapeAttrVal çağırışının ekvivalenti yoxdur. Bu zəiflik 3.7.0 versiyasında düzəldilmişdir.