CVE-2026-54070

SiYuan açık kaynaklı bir kişisel bilgi yönetim sistemidir. 3.7.0 sürümünden önce, kernel/bazaar/readme.go içindeki renderPackageREADME, bir Bazaar paket README dosyasını lute motoru ve SetSanitize(true) kullanarak Markdown'dan HTML'e dönüştürür. Lute temizleyicisi (sanitizer), bir olay işleyici engelleme listesidir: allowAttr yalnızca w3schools eski işleyici listesinden kopyalanan sabit bir eventAttrs haritasında bulunan öznitelik adlarını reddeder. Bu harita modern olay işleyicilerini atlamaktadır. onpointerover, onpointerdown, onauxclick, onbeforetoggle, onfocusin, onanimationstart ve ontransitionend listede yer almadığı için temizleyici bunları herhangi bir etikette olduğu gibi geçirir. Ön uç, render edilen HTML'i app/src/config/bazaar.ts içinde bu yol üzerinde istemci tarafı DOMPurify olmadan ana belgedeki normal bir öğeye (iframe veya sandbox yok) mdElement.innerHTML olarak atar. Kernel, hiçbir yanıtta Content-Security-Policy, X-Frame-Options veya X-Content-Type-Options başlığı göndermez, bu nedenle ilgili olay tetiklendiğinde satır içi (inline) işleyici çalışır. README, tek seferlik pazar yeri güven onayından sonra bir Yönetici Ayarlar → Pazar Yeri kısmında bir paketi açtığında render edilir. Kurulum gerekmez. Sonuç: üçüncü taraf bir Bazaar paket yazarı, Yönetici paket listesini görüntülediğinde ve etkileşime girdiğinde, Yöneticinin kimliği doğrulanmış SiYuan kaynağında JavaScript çalıştırabilir ve çalışma alanının tam kontrolünü ele geçirebilir. Bu güvenlik açığı 3.7.0 sürümünde düzeltilmiştir.