- Yama var
- Son 7 gün
- CWE-79
CVE-2026-116169
SiYuan'da KaTeX matematik bloklarında depolanmış siteler arası betik çalıştırma (XSS) açığı
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
2.10.0 sürümünden 3.8.7 sürümü öncesine kadar olan SiYuan, depolanmış bir siteler arası betik çalıştırma (XSS) açığı içermektedir. Bu açık, düzenleme yetkisine sahip kullanıcıların, KaTeX trust özelliği etkinleştirilmiş matematik bloğu içeriğine javascript: URL'leri yerleştirerek betik enjekte etmesine olanak tanır. Saldırganlar \href, \url veya \includegraphics yüklerini depolayabilir; mathRender bu içeriği innerHTML aracılığıyla atadığında, okuyucu oluşturulan bağlantıya tıkladığında betik uygulama kökeninde çalışır.
Kaynaktaki açıklama (İngilizce)
SiYuan from 2.10.0 before 3.8.7 contains a stored cross-site scripting vulnerability that allows users with edit permission to inject script by placing javascript: URLs in math block content rendered with KaTeX trust enabled. Attackers can store \href, \url, or \includegraphics payloads that mathRender assigns via innerHTML, executing script in the application origin when a reader clicks the rendered link.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| siyuan-note siyuan | ≥ 2.10.0, < 3.8.7 | 3.8.7 |
| 3.8.7 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.