جزئیات آسیب‌پذیری
CVE-2026-92986
siyuan-note siyuan
SiYuan before 3.8.4 Cross-Site Scripting via Document Title
CVSS 4.0
8.6بالا
شرح رسمی (انگلیسی)
SiYuan before 3.8.4 renders document titles as HTML in the backlink dock tree without escaping markup characters. Attackers can set malicious titles through the rename API or crafted notebooks to execute scripts in the Electron renderer with access to child_process for command execution.
امتیازهای CVSS
| امتیاز | نسخه | منبع | بردار |
|---|---|---|---|
| 8.6بالا | 4.0 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N |
| 8.8بالا | 3.1 | CVEProject cvelistV5 (CNA) (VulnCheck) | CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H |
محصولات آسیب‌پذیر
| فروشنده | محصول | نسخه‌ها | منبع |
|---|---|---|---|
| siyuan-note | siyuan | v < 3.8.4 | CVEProject cvelistV5 (CNA) |
منابع و راهنماها
۵- https://github.com/siyuan-note/siyuan/commit/6f093ebe50afc503e2a8b056164293054f8509e7 patch
- https://github.com/siyuan-note/siyuan product
- https://github.com/siyuan-note/siyuan/security/advisories/GHSA-c5h9-g2c6-fxjw vendor-advisory
- https://github.com/siyuan-note/siyuan/blob/v3.8.3/app/src/util/Tree.ts#L134 technical-description
- https://www.vulncheck.com/advisories/siyuan-before-3.8.4-cross-site-scripting-via-document-title third-party-advisory
هشدار CVEهای بعدی این محصولمحصول را دنبال کنید تا آسیب‌پذیری‌های تازه را در تلگرام بگیرید.
اطلاعات
- تاریخ انتشار
- ۱۴۰۵/۰۶/۲۶
- آخرین به‌روزرسانی
- ۱۴۰۵/۰۶/۲۶
- وضعیت
- منتشرشده
- صادرکننده (CNA)
- VulnCheck
پیش‌بینی بهره‌برداری (EPSS)
۰٫۸۱٪
احتمال بهره‌برداری در ۳۰ روز
۵۷٫۲٪
صدک (نسبت به همه‌ی CVEها)
ارزیابی SSVC (CISA)
- قابل خودکارسازی
- بله
- وضعیت بهره‌برداری
- ندارد
- اثر فنی
- کامل
ضعف‌ها (CWE)
- CWE-79Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting')