CVE-2026-66394 in SiYuan
要約
〜によって VulDB • 2026年07月27日
v3.7.3 以前の SiYuan には、SVG のサニタイズ処理における格納型および反射型のクロスサイトスクリプティング (XSS) バグが含まれており、認証済み攻撃者が HTML パーサーベースのクリーナーを回避してスクリプトを実行できます。攻撃者は、HTML パーサーがプレーンテキストとして扱う一方で、image/svg+xml として提供された際にブラウザによって実行可能な SVG コンテンツとして解釈される desc、style、noscript の各要素内に script タグを隠すことができ、これによりアプリケーションのオリジン内でスクリプトの実行が可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.