CVE-2026-65605 in SiYuan
요약
\~에 의해 VulDB • 2026. 07. 25.
v3.7.2 이전 버전의 SiYuan에는 Attribute View(데이터베이스) 셀 렌더링에서 저장된 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. Template 열 값이 text/template을 통해 자동 이스케이프 없이 HTML로 렌더링되며, EscapeHTML은 HasUnclosedHtmlTag가 true를 반환할 때만 적용됩니다. <img>와 같은 균형 잡힌 자기 종료 태그는 해당 검사에서 건너뛰어지므로, <img src=x onerror=...>와 같은 페이로드가 이스케이프 없이 저장되고 나중에 innerHTML을 통해 페이지에 삽입되어 데이터베이스 조회 시 실행됩니다. 데스크톱 렌더러가 nodeIntegration 활성화 상태로 동작하므로, 주입된 스크립트는 require 함수에 접근하여 임의 명령어 실행으로 권한 상승할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.