CVE-2026-33067
Açıklama
SiYuan bir kişisel bilgi yönetim sistemidir. 3.6.0 ve altı sürümler, paket meta veri alanlarını (displayName, description) HTML kaçış karakterlerini kullanmadan şablon dizileriyle işlemektedir. Kötü niyetli bir paket yazarı, bu alanlara rastgele HTML/JavaScript enjekte edebilir ve bu içerikler herhangi bir kullanıcı Bazaar sayfasını gezdiğinde otomatik olarak çalışır. SiYuan'ın Electron yapılandırması nodeIntegration: true ve contextIsolation: false şeklinde etkinleştirildiği için, bu XSS saldırısı mağdurun işletim sistemi üzerinde doğrudan tam uzaktan kod çalıştırmaya (RCE) dönüşür; bunun için pazar yeri sekmesini açmak dışında hiçbir kullanıcı etkileşimi gerekmez. Bu sorun 3.6.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- b3log siyuan3.6.1 ya da sonraki bir sürüm
- github.com/siyuan-note/siyuan/kernel0.0.0-20260317012524-fe4523fff2c8 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log siyuan | v < 3.6.1 | 3.6.1 |
| github.com/siyuan-note/siyuan/kernelGo | v < 0.0.0-20260317012524-fe4523fff2c8 | 0.0.0-20260317012524-fe4523fff2c8 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.