CVE-2026-40322
Açıklama
SiYuan açık kaynaklı bir kişisel bilgi yönetim sistemidir. 3.6.3 ve altı sürümlerde, Mermaid diyagramları securityLevel "loose" olarak ayarlanmış şekilde işlenmekte ve sonuçlanan SVG, innerHTML aracılığıyla DOM'a enjekte edilmektedir. Bu durum, Mermaid kod bloklarındaki saldırgan kontrollü javascript: URL'lerinin işlenen çıktıda kalmasına olanak tanır. Electron kullanan masaüstü sürümlerinde pencereler, nodeIntegration etkin ve contextIsolation devre dışı olacak şekilde oluşturulmaktadır; bu da kurban kötü amaçlı bir Mermaid bloğu içeren bir notu açtığında ve işlenen diyagram düğümüne tıkladığında, depolanan XSS'in keyfi kod çalıştırılmasına yükselmesine neden olur. Bu sorun 3.6.4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- b3log siyuan3.6.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log siyuan | v < 3.6.4 | 3.6.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.