CVE-2026-65606

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.6
EPSS: 0.8%
CWE: CWE-79
KEV Durumu: Hayır

Yayım tarihi: 23 Temmuz 2026

SiYuan, v3.7.2'den önceki sürümlerinde siyuan:// protokol işleyicisinde bir cross-site scripting zafiyeti içerir. Bir siyuan://plugins/<name> bağlantısı kurulmamış bir eklenti adı referans gösterdiğinde, uygulama özel bir sekme açar ve bağlantının simge parametresini sekme başlığına innerHTML aracılığıyla ekler, ancak bunu kaçış karakterleri olmadan yapar (app/src/layout/Tab.ts), bu da bir <img onerror=...> öğesinin enjekte edilmesine olanak tanır. SiYuan Masaüstü işleyicisi nodeIntegration:true olarak çalıştığından, enjekte edilen JavaScript, Node'un require özelliğine erişebilir ve require('child_process').execSync(...)'i çağırabilir, bu da cross-site scripting'i keyfi işletim sistemi komut yürütmesine yükseltir.

Orijinal açıklama (İngilizce)

SiYuan before v3.7.2 contains a cross-site scripting vulnerability in the siyuan:// protocol handler. When a siyuan://plugins/<name> link references a name that is not an installed plugin, the application opens a custom tab and inserts the link's icon parameter into the tab header via innerHTML without escaping it (app/src/layout/Tab.ts), allowing injection of an <img onerror=...> element. Because the SiYuan Desktop renderer runs with nodeIntegration:true, the injected JavaScript can access Node's require and call require('child_process').execSync(...), escalating the cross-site scripting into arbitrary operating-system command execution.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.