CVE-2026-65605
Açıklama
v3.7.2 öncesindeki SiYuan, Attribute View (database) hücre oluşturma işleminde saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Bir Template sütun değeri, otomatik kaçış karakterleri uygulanmadan text/template aracılığıyla HTML olarak işlenmekte ve EscapeHTML yalnızca HasUnclosedHtmlTag true döndürdüğünde uygulanmaktadır; <img > gibi dengeli kendi kendini kapatan etiketler bu kontrol tarafından atlandığı için, <img src=x onerror=...> gibi bir yük kaçırılmadan saklanmakta ve daha sonra innerHTML aracılığıyla sayfaya eklenerek veritabanı görüntülendiğinde çalıştırılmaktadır. Masaüstü oluşturucu nodeIntegration etkinleştirilmiş şekilde çalıştığından, enjekte edilen betik require fonksiyonuna erişebilir ve rastgele komut çalıştırmaya kadar yetki yükseltebilir.
Nasıl düzeltilir
- siyuan-note siyuan3.7.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| siyuan-note siyuan | v < 3.7.2 | 3.7.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.