CVE-2026-56395
KrytyczneCVSS 9.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 31 — wyżej niż 31% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją 3.6.1 nie sanitizuje metadanych pakietów oraz treści README w rynku Bazaar, co pozwala złośliwym autorom pakietów na wstrzykiwanie dowolnego HTML i JavaScript. Atakujący mogą uzyskać zdalne wykonanie kodu na każdym użytkowniku przeglądającym Bazaar, osadzając ładunki XSS w polach displayName, opisu lub README.
Ocena ryzyka
Wykorzystanie tej podatności może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa użytkowników oraz systemów organizacji. Atakujący mogą przejąć kontrolę nad systemami użytkowników, co może skutkować utratą danych lub kompromitacją systemów.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji 3.6.1 lub nowszej, aby usunąć tę podatność. Dodatkowo, warto wdrożyć dodatkowe mechanizmy zabezpieczeń, takie jak Content Security Policy (CSP), aby ograniczyć możliwość wstrzykiwania złośliwego kodu.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.6.1 fails to sanitize package metadata and README content in the Bazaar marketplace, allowing malicious package authors to inject arbitrary HTML and JavaScript. Attackers can achieve remote code execution on any user browsing the Bazaar by embedding XSS payloads in package displayName, description, or README fields, exploiting Electron's nodeIntegration setting to execute OS commands.