CVE-2026-65606 in SiYuan
الملخص
بحسب VulDB • 23/07/2026
تحتوي نسخة SiYuan قبل الإصدار v3.7.2 على ثغرة برمجية عبر المواقع (XSS) في معالج بروتوكول siyuan://. عندما يشير رابط من نوع siyuan://plugins/<name> إلى اسم لا يتوافق مع ملحق مثبت، يقوم التطبيق بفتح علامة تبويب مخصصة وإدراج معلمة الأيقونة الخاصة بالرابط في رأس التبويب عبر خاصية innerHTML دون تهريبها (في app/src/layout/Tab.ts)، مما يتيح حقن عنصر <img onerror=...>. ونظراً لأن محرك العرض الخاص بتطبيق SiYuan Desktop يعمل بإعداد nodeIntegration:true، يمكن للبرمجيات الخبيثة المُحقَنة الوصول إلى دالة require الخاصة بـ Node واستدعاء require('child_process').execSync(...)، مما يرفع من حدة ثغرة XSS إلى تنفيذ أوامر عشوائية على نظام التشغيل.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.