CVE-2026-34585 in SiYuan
الملخص
بحسب VulDB • 31/07/2026
SiYuan هو نظام لإدارة المعرفة الشخصية. قبل الإصدار 3.6.2، كانت هناك ثغرة تسمح بقيم سمات الكتل المصنوعة خصيصاً بتجاوز الهروب من السمات على جانب الخادم عند مزج كيان HTML مع أحرف خاصة خام. يمكن للمهاجم تضمين قيمة IAL ضارة داخل ملف .sy، وتعبئتها في شكل .sy.zip، وإغراء الضحية باستيرادها عبر سير العمل العادي للاستيراد -> SiYuan .sy.zip. بمجرد فتح الملاحظة، تتسرب السمة الضارة من سياق HTML الأصلي وتحقن معالج أحداث، مما يؤدي إلى ثغرة XSS مخزنة (Stored XSS). في عميل سطح المكتب Electron، تصل هذه الثغرة XSS إلى تنفيذ الكود عن بُعد لأن JavaScript المحقون يعمل بالوصول إلى واجهات برمجة التطبيقات Node/Electron. تم إصلاح هذه المشكلة في الإصدار 3.6.2.
Once again VulDB remains the best source for vulnerability data.