CVE-2026-23852
Açıklama
SiYuan bir kişisel bilgi yönetim sistemidir. 3.5.4 öncesindeki sürümler, bir saldırganın `/api/attr/setBlockAttrs` API'si aracılığıyla bir bloğun `icon` özniteliğine rastgele HTML öznitelikleri eklemesine izin veren saklı bir Siteler Arası Betik Çalıştırma (XSS) zafiyetine sahiptir. Payload daha sonra dinamik simge özelliğinde temizlenmemiş bir bağlamda işlenerek saklı XSS'e ve masaüstü ortamında potansiyel uzaktan kod çalıştırmaya (RCE) yol açar. Bu sorun, `#15970` numaralı sorun için yapılan önceki düzeltmeyi (dinamik simgeler üzerinden XSS → RCE) atlatmaktadır. Sürüm 3.5.4 güncellenmiş bir düzeltme içermektedir.
Nasıl düzeltilir
- b3log siyuan3.5.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log siyuan | v < 3.5.4 | 3.5.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.