PT-2026-24462
CVE-2026-31807
·
Publicado
2026-03-10
·
Atualizado
2026-09-20
Descrição por
CVSS 4.0
6.4
MédiaMétricasAV:N/AC:L/AT:N/PR:N/UI:P/VC:N/VI:N/VA:N/SC:H/SI:H/SA:N
Nome do Software Vulnerável e Versões Afetadas
Versões do SiYuan anteriores à 3.5.10
Descrição
O SiYuan é um sistema de gerenciamento de conhecimento pessoal. O sanitizador de SVG (SanitizeSVG) em versões anteriores à 3.5.10 não bloqueia elementos de animação SVG (, ), permitindo que invasores definam dinamicamente atributos para valores perigosos em tempo de execução, contornando a sanitização estática. Isso permite a injeção de JavaScript executável no endpoint não autenticado
/api/icon/getDynamicIcon (type=8), resultando em uma condição de Cross-Site Scripting (XSS) refletido. Trata-se de um contorno de uma correção anterior. O parâmetro vulnerável é type.Recomendações
Atualize para a versão 3.5.10 ou posterior.
Explorabilidade
Exploit
Correção
Impactos
Pesquisadores
Fornecedores
Produtos afetados
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾