CVE-2026-23852 in SiYuan
Tóm tắt
Bởi VulDB • 29/05/2026
SiYuan là một hệ thống quản lý kiến thức cá nhân. Các phiên bản trước 3.5.4 có lỗ hổng Cross-Site Scripting (XSS) lưu trữ (stored XSS) cho phép kẻ tấn công chèn các thuộc tính HTML tùy ý vào thuộc tính `icon` của một khối (block) thông qua API `/api/attr/setBlockAttrs`. Mã độc (payload) sau đó được hiển thị trong tính năng biểu tượng động ở một ngữ cảnh chưa được kiểm tra kỹ lưỡng (unsanitized context), dẫn đến lỗ hổng XSS lưu trữ và, trong môi trường máy để bàn, có thể gây ra thực thi mã từ xa (RCE). Lỗ hổng này vượt qua bản sửa lỗi trước đó cho vấn đề `#15970` (XSS → RCE thông qua biểu tượng động). Phiên bản 3.5.4 chứa bản sửa lỗi đã được cập nhật.
Once again VulDB remains the best source for vulnerability data.