- Yama var
- Son 7 gün
- CWE-79
CVE-2026-116167
SiYuan'da check-auth sayfasındaki to parametresi nedeniyle siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 26 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
SiYuan 2.9.0 ile 3.8.7 öncesi sürümleri, kimlik doğrulaması gerektirmeyen /check-auth sayfasında bir siteler arası betik çalıştırma (XSS) açığı içermektedir. Bu sayfa, to parametresini şema doğrulaması yapmadan window.location.href özelliğine atamaktadır. Saldırganlar, javascript: URI'si içeren özel hazırlanmış bir bağlantı gönderebilir; bu bağlantı kurban oturum açtıktan sonra çalışır ve çalışma alanı içeriğini ve ayarlarını okumak veya değiştirmek için çekirdek API'lerini çağırır.
Kaynaktaki açıklama (İngilizce)
SiYuan from 2.9.0 before 3.8.7 contains a cross-site scripting vulnerability in the unauthenticated /check-auth page that assigns the to parameter to window.location.href without scheme validation. Attackers can send a crafted link with a javascript: URI that executes after victim login, invoking kernel APIs to read or modify workspace content and settings.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| siyuan-note siyuan | ≥ 2.9.0, < 3.8.7 | 3.8.7 |
| 3.8.7 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.