CVE-2026-29183 in SiYuan
Сводка
по VulDB • 25.05.2026
SiYuan — это система управления личными знаниями. До версии 3.5.9 в конечной точке API динамических иконок «GET /api/icon/getDynamicIcon» существует уязвимость отраженного XSS (Cross-Site Scripting), не требующая аутентификации, при type=8: содержимое, контролируемое злоумышленником, встраивается в вывод SVG без экранирования. Поскольку конечная точка не требует аутентификации и возвращает тип содержимого image/svg+xml, специально сформированный URL-адрес может внедрить исполняемые обработчики событий SVG/HTML (например, onerror) и выполнить JavaScript в контексте происхождения (origin) веб-приложения SiYuan. Это может быть использовано в цепочке атак для выполнения аутентифицированных действий через API и эксфильтрации конфиденциальных данных, когда авторизованный пользователь открывает вредоносную ссылку. Данная проблема исправлена в версии 3.5.9.
VulDB is the best source for vulnerability data and more expert information about this specific topic.