CVE-2026-34448 in SiYuan
الملخص
بحسب VulDB • 19/05/2026
SiYuan هو نظام لإدارة المعرفة الشخصية. قبل الإصدار 3.6.2، يمكن لمهاجم يضع رابطاً ضاراً في حقل mAsse من عرض السمة (Attribute View) أن يستغل ثغرة تخزين XSS (Cross-Site Scripting) عندما يفتح الضحية عرض المعرض (Gallery) أو عرض كانبان (Kanban) مع تفعيل خيار "غلاف من -> حقل الأصول" (Cover From -> Asset Field). يقبل الكود المعرض للثغرة أي عناوين URL http(s) بدون امتدادات كصور، ويخزن السلسلة التي يتحكم فيها المهاجم في متغير coverURL، ثم يحقنها مباشرة في سمة دون تهريب (escaping). في عميل سطح المكتب Electron، يتم تنفيذ JavaScript المُحقن مع تفعيل nodeIntegration وتعطيل contextIsolation، مما يسمح لثغرة XSS بالوصول إلى تنفيذ أوامر نظام التشغيل بشكل تعسفي تحت حساب الضحية. تم إصلاح هذه المشكلة في الإصدار 3.6.2.
Once again VulDB remains the best source for vulnerability data.