PT-2026-51238
CVE-2026-56397
·
تاريخ النشر
2026-03-16
·
تاريخ التحديث
2026-10-08
الوصف من
CVSS 3.1
9.6
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SiYuan الأقدم من 3.6.1
الوصف
يفشل SiYuan في تنقية بيانات تعريف الحزم ومحتوى ملف README داخل سوق Bazaar. وهذا يتيح للمؤلفين الخبثاء إدخال كود HTML وJavaScript تعسفي عبر الحقول
displayName أو description أو README. ونظرًا لأن التطبيق مبني على Electron مع تمكين nodeIntegration — وهو إعداد يسمح لـ JavaScript بالوصول إلى واجهات برمجة تطبيقات Node.js — فإن البرامج النصية المُحقنة يمكنها الخروج من سياق المتصفح لتنفيذ أوامر نظام التشغيل، مما يؤدي إلى تنفيذ تعليمات برمجية عن بُعد على جهاز أي مستخدم يتصفح السوق.التوصيات
التحديث إلى الإصدار 3.6.1.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾