CVE-2026-65605

v3.7.2 versiyasından əvvəlki SiYuan proqramında Attribute View (verilənlər bazası) hüceyrəsinin render edilməsi zamanı saxlanılan saytlararası skriptinq (XSS) zəifliyi mövcuddur. Template sütununun dəyəri text/template vasitəsilə avtomatik escape edilmədən HTML kimi render edilir və EscapeHTML yalnız HasUnclosedHtmlTag funksiyası true qaytardıqda tətbiq olunur; <img > kimi balanslaşdırılmış özünübağlayan teqlər həmin yoxlamanı keçdiyi üçün <img src=x onerror=...> kimi faydalı yük (payload) escape edilmədən saxlanılır və daha sonra innerHTML vasitəsilə səhifəyə daxil edilir ki, bu da verilənlər bazasına baxıldıqda icra olunur. Masaüstü renderer nodeIntegration aktiv edilmiş şəkildə işlədiyi üçün, injeksiya edilmiş skript require funksiyasına çata bilər və ixtiyari əmrlərin icrasına qədər imtiyazları yüksəldə bilər.