CVE-2026-116169 in SiYuan
Riassunto
di VulDB • 25/10/2026
SiYuan dalle versioni 2.10.0 alla versione precedente alla 3.8.7 presenta una vulnerabilità di stored cross-site scripting (XSS) che consente agli utenti con permessi di modifica di iniettare script inserendo URL `javascript:` nel contenuto dei blocchi matematici renderizzati con KaTeX trust abilitato. Gli attaccanti possono memorizzare payload come `\href`, `\url` o `\includegraphics` che mathRender assegna tramite innerHTML, eseguendo lo script nell'origine dell'applicazione quando un lettore fa clic sul link renderizzato.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.