CVE-2026-87812

Orta

Açıklama

v3.8.2 öncesindeki SiYuan, iconURL meta verilerinin kaçış karakterleri kullanılmadan doğrudan HTML img src özniteliklerine yerleştirildiği Bazaar paket kartlarında saklı bir siteler arası betik çalıştırma (XSS) zafiyeti içermektedir. Saldırganlar, kullanıcılar Bazaar listelemelerini görüntülediğinde kimliği doğrulanmış SiYuan kaynağında JavaScript çalıştıran olay işleyicili kötü amaçlı URL'ler enjekte ederek API istekleri yapılmasına ve uygulama durumunun manipüle edilmesine olanak tanıyabilir.

ÖnemOrta

CVSS6.8

İstismar olasılığı—

ÜrünSiyuan

Yayın9 Eyl 2026

İlk görülme9 Eyl 2026

Zayıflık türüCWE-79Siteler arası betik (XSS)

Nasıl düzeltilir

Güncelleyin

siyuan-note siyuan3.8.2 ya da sonraki bir sürüm

Üretici duyuruları

github.com/siyuan-note/siyuan/security/advisories/GHSA-rvcf-q4h8-w6c9

Etkilenen ürünler

Ürün	Etkilenen sürümler	Düzeltildiği sürüm
siyuan-note siyuan	v < 3.8.2	3.8.2

Sürümünüzü kontrol edin

Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.

Intelligence 360 paketinde

Attack Surface Management

Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.