CVE-2026-29183 in SiYuan
Resumen
por MITRE • 2026-03-06
SiYuan es un sistema de gestión de conocimiento personal. Antes de la versión 3.5.9, existe una vulnerabilidad XSS reflejada no autenticada en el endpoint de la API de icono dinámico 'GET /api/icon/getDynamicIcon' cuando type=8, el contenido controlado por el atacante se incrusta en la salida SVG sin escapar. Debido a que el endpoint no está autenticado y devuelve image/svg+xml, una URL manipulada puede inyectar manejadores de eventos SVG/HTML ejecutables (por ejemplo, onerror) y ejecutar JavaScript en el origen web de SiYuan. Esto puede encadenarse para realizar acciones de API autenticadas y exfiltrar datos sensibles cuando un usuario autenticado abre el enlace malicioso. Este problema ha sido parcheado en la versión 3.5.9.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.