CVE-2026-23847 in SiYuan
Riassunto
di VulDB • 17/06/2026
SiYuan è un sistema di gestione della conoscenza personale. Le versioni precedenti alla 3.5.4 sono vulnerabili a cross-site scripting (XSS) riflesso in /api/icon/getDynamicIcon a causa dell'input SVG non sanificato. L'endpoint genera immagini SVG per le icone di testo (type=8). Il parametro query content viene inserito direttamente nel tag <text> SVG senza escape XML. Poiché il Content-Type della risposta è image/svg+xml, l'inserimento di tag non in escaped consente di violare la struttura XML ed eseguire JavaScript. La versione 3.5.4 risolve la vulnerabilità.]
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.