CVE-2026-39846
Açıklama
SiYuan bir kişisel bilgi yönetim sistemidir. 3.6.4 sürümünden önce, başka bir kullanıcıyla senkronize edilen kötü amaçlı bir not, SiYuan Electron masaüstü istemcisinde uzaktan kod çalıştırmaya yol açabilir. Temel neden, tablo açıklama içeriğinin güvenli kaçış karakterleri olmadan saklanması ve daha sonra işlenen HTML'ye dönüştürülerek çözülmesiyle oluşan bir kayıtlı XSS açığıdır. Masaüstü oluşturucusu nodeIntegration etkin ve contextIsolation devre dışı olarak çalıştığından, saldırgan tarafından kontrol edilen JavaScript, Node.js API'lerine erişimle yürütülür. Uygulamada bir saldırgan, özel olarak hazırlanmış bir notu senkronize edilmiş bir çalışma alanına aktarabilir, kurbanın senkronizasyon yapmasını bekleyebilir ve kurban notu açtığında kod çalıştırılmasını sağlayabilir. Bu güvenlik açığı 3.6.4 sürümünde giderilmiştir.
Nasıl düzeltilir
- b3log siyuan3.6.4 ya da sonraki bir sürüm
- github.com/siyuan-note/siyuan/kernel0.0.0-20260407035653-2f416e5253f1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log siyuan | v < 3.6.4 | 3.6.4 |
| github.com/siyuan-note/siyuan/kernelGo | v < 0.0.0-20260407035653-2f416e5253f1 | 0.0.0-20260407035653-2f416e5253f1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.