CVE-2026-73052

Kritik

Açıklama

SiYuan v3.7.4 öncesinde, attribute-view alan adlarını HTML kaçışı yapmadan saklar ve bunları sıralama menüsünde innerHTML aracılığıyla doğrudan option öğelerine yerleştirir. Saldırganlar, bir veritabanı alanını yeniden adlandırarak kullanıcılar sıralama menüsünü açtığında rastgele JavaScript çalıştırmak üzere işaretleme enjekte edebilir; masaüstü istemcisinde Node entegrasyonunun etkin olması kod çalıştırmayı mümkün kılar.

ÖnemKritik

CVSS9.0

İstismar olasılığı—

ÜrünSiyuan

Yayın15 Ağu 2026

İlk görülme15 Ağu 2026

Zayıflık türüCWE-79Siteler arası betik (XSS)

Nasıl düzeltilir

Güncelleyin

siyuan-note siyuan3.7.4 ya da sonraki bir sürüm

Üretici duyuruları

github.com/siyuan-note/siyuan/security/advisories/GHSA-g3jx-227v-x2x4

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
siyuan-note siyuan	v < 3.7.4	3.7.4

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.