CVE-2026-23852
KrytyczneStreszczenie
SiYuan, system zarządzania wiedzą osobistą, w wersjach przed 3.5.4 zawiera podatność na trwały Cross-Site Scripting (XSS), umożliwiającą atakującemu wstrzyknięcie dowolnych atrybutów HTML do atrybutu `icon` bloku za pośrednictwem API `/api/attr/setBlockAttrs`. Ładunek jest później renderowany w funkcji dynamicznych ikon w niesanitowanym kontekście, co prowadzi do trwałego XSS, a w środowisku desktopowym potencjalnie do zdalnego wykonania kodu (RCE). Podatność omija wcześniejszą poprawkę dla problemu #15970. Wersja 3.5.4 zawiera zaktualizowaną poprawkę.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce ofiary, co może prowadzić do kradzieży danych, przejęcia sesji, a w wersji desktopowej do zdalnego wykonania kodu na komputerze użytkownika.
Rekomendacja
Zaktualizuj SiYuan do wersji 3.5.4 lub nowszej, aby naprawić podatność.
Oryginalny opis (angielski, źródło NVD)
SiYuan is a personal knowledge management system. Versions prior to 3.5.4 have a stored Cross-Site Scripting (XSS) vulnerability that allows an attacker to inject arbitrary HTML attributes into the `icon` attribute of a block via the `/api/attr/setBlockAttrs` API. The payload is later rendered in the dynamic icon feature in an unsanitized context, leading to stored XSS and, in the desktop environment, potential remote code execution (RCE). This issue bypasses the previous fix for issue `#15970` (XSS → RCE via dynamic icons). Version 3.5.4 contains an updated fix.