CVE-2026-93591

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.8.3

Description Um problema de injeção de SQL existe na função query2Stmt() dentro de graph.go. A falha ocorre porque os valores de tags são concatenados diretamente em literais de string SQL sem a neutralização de aspas simples. Um leitor em modo de publicação ou um visitante anônimo pode explorar isso utilizando tags span HTML inline através do endpoint 'getGraph' para executar consultas arbitrárias no banco de dados de leitura e gravação e exfiltrar dados privados entre notebooks.

Recommendations Atualize para a versão 3.8.3 ou posterior.