CVE-2026-23852 in SiYuan
Sumário
de VulDB • 29/05/2026
SiYuan é um sistema de gestão de conhecimento pessoal. As versões anteriores à 3.5.4 possuem uma vulnerabilidade de Cross-Site Scripting (XSS) armazenada que permite a um atacante injetar atributos HTML arbitrários no atributo `icon` de um bloco por meio da API `/api/attr/setBlockAttrs`. A carga útil é posteriormente renderizada no recurso de ícone dinâmico em um contexto não sanitizado, resultando em XSS armazenada e, no ambiente desktop, possível execução remota de código (RCE). Esta questão contorna a correção anterior para o problema `#15970` (XSS → RCE via ícones dinâmicos). A versão 3.5.4 contém uma correção atualizada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.