CVE-2026-23847
Açıklama
SiYuan bir kişisel bilgi yönetim sistemidir. 3.5.4 öncesindeki sürümler, temizlenmemiş SVG girdisi nedeniyle /api/icon/getDynamicIcon adresinde yansıtılmış siteler arası betik çalıştırmaya (XSS) karşı savunmasızdır. Uç nokta, metin simgeleri için (type=8) SVG görüntüleri oluşturur. content sorgu parametresi, XML kaçış karakterleri uygulanmadan doğrudan SVG <text> etiketine eklenir. Yanıtın Content-Type değeri image/svg+xml olduğu için, kaçış karakterleri uygulanmamış etiketlerin enjekte edilmesi XML yapısının bozulmasına ve JavaScript çalıştırılmasına olanak tanır. 3.5.4 sürümü bu sorunu gidermektedir.
Nasıl düzeltilir
- b3log siyuan3.5.4 ya da sonraki bir sürüm
- github.com/siyuan-note/siyuan/kernel0.0.0-20260118021606-5c0cc375b475 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log siyuan | v < 3.5.4 | 3.5.4 |
| github.com/siyuan-note/siyuan/kernelGo | v < 0.0.0-20260118021606-5c0cc375b475 | 0.0.0-20260118021606-5c0cc375b475 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.