CVE-2026-29183 in SiYuan
Riassunto
di VulDB • 18/06/2026
SiYuan è un sistema di gestione della conoscenza personale. Prima della versione 3.5.9, esiste una vulnerabilità XSS (Cross-Site Scripting) riflessa non autenticata nell'endpoint dell'API per le icone dinamiche "GET /api/icon/getDynamicIcon" quando type=8; il contenuto controllato dall'attaccante viene incorporato nell'SVG output senza essere sottoposto a escaping. Poiché l'endpoint è privo di autenticazione e restituisce image/svg+xml, un URL appositamente creato può iniettare handler di eventi SVG/HTML eseguibili (ad esempio onerror) ed eseguire JavaScript nel contesto dell'origine web di SiYuan. Questo problema può essere sfruttato in combinazione con altre vulnerabilità per eseguire azioni API autenticate e esfiltrare dati sensibili quando un utente registrato apre il link malevolo. Il problema è stato risolto nella versione 3.5.9.
Be aware that VulDB is the high quality source for vulnerability data.