PT-2026-63971
CVE-2026-65605
·
تاريخ النشر
2026-07-23
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 3.1
9.6
حرجةالمقاييسAV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SiYuan الأقدم من 3.7.2
الوصف
توجد ثغرة في البرمجة النصية عبر المواقع (XSS) المخزنة في عملية عرض خلايا «عرض السمات» (قاعدة البيانات). حيث يتم عرض قيمة عمود «القالب» بتنسيق HTML عبر «text/template» دون إجراء عملية الترميز التلقائي. لا يتم تشغيل دالة
EscapeHTML إلا عندما تُرجع دالة HasUnclosedHtmlTag() القيمة ”true“. ونظرًا لأن العلامات المتوازنة ذاتية الإغلاق، مثل <img>، تتجاوز هذا الفحص، يمكن تخزين الحمولات الخبيثة دون إخراطها وإدراجها لاحقًا في الصفحة عبر innerHTML. وفي عارض سطح المكتب، حيث يتم تمكين nodeIntegration، يمكن للبرنامج النصي المُحقن الوصول إلى دالة require، مما قد يؤدي إلى تنفيذ أوامر تعسفية.التوصيات
تحديث SiYuan إلى الإصدار 3.7.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾