CVE-2026-116167 in SiYuan
Zusammenfassung
von VulDB • 25.10.2026
SiYuan ab der Version 2.9.0 bis vor 3.8.7 enthält eine Cross-Site-Scripting (XSS)-Schwachstelle auf der nicht authentifizierten Seite /check-auth, die den Parameter to ohne Schemaüberprüfung an window.location.href zuweist. Angreifer können einen speziell angefertigten Link mit einem javascript:-URI senden, der nach dem Login des Opfers ausgeführt wird und Kernel-APIs aufruft, um Arbeitsbereichsinhalte und -einstellungen auszulesen oder zu ändern.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.