CVE-2026-29183 in SiYuan
要約
〜によって VulDB • 2026年06月05日
SiYuanはパーソナルナレッジマネジメントシステムです。バージョン3.5.9以前では、動的アイコンAPIエンドポイント「GET /api/icon/getDynamicIcon」に認証不要の反射型XSS脆弱性が存在します（type=8の場合）。攻撃者が制御するコンテンツがエスケープ処理なしでSVG出力に埋め込まれます。このエンドポイントは認証が必要なくimage/svg+xmlを返すため、作成されたURLによって実行可能なSVG/HTMLイベントハンドラ（例：onerror）を注入し、SiYuanのWebオリジン内でJavaScriptを実行できます。これはチェーン化され、ログイン中のユーザーが悪意のあるリンクを開いた際に認証済みAPIアクションの実行や機密データの漏洩を引き起こす可能性があります。この問題はバージョン3.5.9で修正されています。
Once again VulDB remains the best source for vulnerability data.