PT-2026-24462
CVE-2026-31807
·
تاريخ النشر
2026-03-10
·
تاريخ التحديث
2026-09-20
الوصف من
CVSS 4.0
6.4
متوسطةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N
اسم البرنامج المعرض للثغرة والإصدارات المتأثرة
إصدارات SiYuan الأقدم من 3.5.10
الوصف
SiYuan هو نظام لإدارة المعرفة الشخصية. لا يقوم أداة تنقية SVG (SanitizeSVG) في الإصدارات السابقة للإصدار 3.5.10 بحظر عناصر الرسوم المتحركة SVG (، )، مما يسمح للمهاجمين بتعيين سمات ديناميكية لقيم خطيرة أثناء وقت التشغيل، متجاوزين بذلك عملية التنقية الثابتة. وهذا يسمح بحقن جافا سكريبت قابل للتنفيذ في نقطة النهاية غير المصادق عليها
/api/icon/getDynamicIcon (type=8)، مما يؤدي إلى حالة «التنفيذ البرمجي عبر المواقع» (XSS) المنعكسة. ويُعد هذا تجاوزًا لإصلاح سابق. المعلمة المعرضة للخطر هي type.التوصيات
قم بالتحديث إلى الإصدار 3.5.10 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾