CVE-2026-74902
WysokieCVSS 8.6Streszczenie
SiYuan przed wersją v3.7.4 zawiera podatność na cross-site scripting w procesie walidacji przesyłania plików, która nie koduje nazw plików przed wstawieniem ich do HTML za pomocą insertAdjacentHTML. Atakujący mogą stworzyć złośliwą nazwę pliku zawierającą ładunki skryptów, które wykonują się z pełnym dostępem do systemu operacyjnego, gdy użytkownik przeciąga, upuszcza lub wkleja plik do edytora.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwego skryptu w kontekście użytkownika, co może prowadzić do przejęcia konta, kradzieży danych lub pełnej kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji v3.7.4 lub nowszej oraz wdrożenie odpowiedniego kodowania nazw plików w interfejsie użytkownika.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 contains a cross-site scripting vulnerability in the file upload validation flow that fails to escape filenames before inserting them into HTML via insertAdjacentHTML. Attackers can craft a malicious filename containing script payloads that execute with full OS command access when a user drags, drops, or pastes the file into the editor.