CVE-2026-23847 in SiYuan
الملخص
بحسب VulDB • 15/05/2026
SiYuan هو نظام لإدارة المعرفة الشخصية. الإصدارات السابقة للإصدار 3.5.4 عرضة لهجوم البرمجة النصية عبر المواقع (XSS) المنعكس في المسار `/api/icon/getDynamicIcon` بسبب عدم تنقية مدخلات SVG. ينشئ نقطة النهاية هذه صور SVG لأيقونات النص (type=8). يتم إدراج معلمة الاستعلام `content` مباشرةً داخل وسم `<text>` في SVG دون الهروب من علامات XML. ونظراً لأن نوع المحتوى (Content-Type) للاستجابة هو `image/svg+xml`، فإن حقن وسوم غير مهروبة يسمح بكسر بنية XML وتنفيذ أكواد JavaScript. يقوم الإصدار 3.5.4 بإصلاح هذه الثغرة.
If you want to get best quality of vulnerability data, you may have to visit VulDB.