PT-2026-64997
CVE-2026-66396
·
تاريخ النشر
2026-07-27
·
تاريخ التحديث
2026-09-17
الوصف من
CVSS 4.0
9.3
حرجةالمقاييسAV:N/AC:L/AT:N/PR:H/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SiYuan الأقدم من 3.7.2
الوصف
من الممكن تنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (Stored cross-site scripting) بسبب عدم الترميز الصحيح لقيمة قائمة السمات الفردية
title-img أثناء عرض صور الغلاف في «Gallery» و«Kanban». ويحدث ذلك من خلال الاستيفاء غير المرمز لسمات الأنماط. يمكن للمستخدمين الذين يتمتعون بأذونات المحرر إدخال معالجات onload لتنفيذ تعليمات برمجية عشوائية داخل عارض Electron، مما يمنحهم وصولاً كاملاً إلى Node.js عندما يفتح الضحية المستندات المتأثرة.التوصيات
التحديث إلى الإصدار 3.7.2 أو أحدث.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾