CVE-2026-44586

Wysokie

Opublikowano: 14/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

SiYuan to system zarządzania wiedzą, który w wersjach od 2.1.12 do przed 3.7.0 renderuje metadane autorów pakietów z publicznego feedu bazaru w HTML bez odpowiedniego zabezpieczenia. W aplikacji desktopowej prowadzi to do przechowywanego XSS, co umożliwia wykonanie kodu na hoście.

Ocena ryzyka

Podatność ta stwarza ryzyko wykonania złośliwego kodu na urządzeniach użytkowników, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem.

Rekomendacja

Zaleca się aktualizację SiYuan do wersji 3.7.0 lub nowszej, aby usunąć tę podatność.

Inne podatności w SiYuan Bazaar marketplace

CVE-2026-56397Krytyczne
SiYuan w wersjach przed 3.6.1 nie sanitizuje metadanych pakietów oraz treści README w rynku Bazaar, co pozwala złośliwym autorom pakietów na wstrzykiwanie dowolnego HTML i JavaScript.

Oryginalny opis (angielski, źródło NVD)

SiYuan is an open-source personal knowledge management system. From 2.1.12 to before 3.7.0. SiYuan's Bazaar marketplace renders package author metadata from the public bazaar stage feed into HTML without escaping. In the desktop app this becomes stored XSS, and because SiYuan's Electron windows are created with nodeIntegration: true and contextIsolation: false, a successful payload can call Node.js APIs and execute code on the host. This vulnerability is fixed in 3.7.0.