SiYuan anfällig für Reflected XSS via SVG Namespace Prefix Bypass in SanitizeSVG (getDynamicIcon, unauthenticated)

CVE-2026-34605 in Siuan betrifft die Funktion SanitizeSVG, die in Version 3.6.0 eingeführt wurde, um eine XSS-Schwachstelle im nicht authentifizierten /api/icon/getDynamicIcon-Endpunkt zu beheben. Diese Funktion, die dazu dient, die Injektion von bösartigem Code in SVG-Bilder zu verhindern, kann umgangen werden, indem Elementnamen mit Namespace-Präfixen verwendet werden, wie z. B. <x:script xmlns:x="http://www.w3.org/2000/svg">. Der Go HTML5-Parser protokolliert den Elementtag als "x:script" anstatt "script", wodurch der Filter den Tag passieren lässt. Da das SVG mit Content-Type: image/svg+xml und ohne Content Security Policy (CSP) ausgeliefert wird, kann ein Browser, der die Antwort direkt öffnet, das bösartige Skript ausführen und so Code im Kontext des Benutzers ausführen.

Users of Siyuan Kernel who are using versions prior to 0.0.0-20260330031106-f09953afc57a are at risk. This includes individuals and organizations relying on Siyuan for note-taking and knowledge management, particularly those who customize the application with custom SVG icons or integrate it with other systems.

• linux / server: Monitor Siyuan Kernel logs for unusual activity related to SVG icon loading. Use journalctl -f to observe real-time log entries. Look for patterns indicating attempts to load or process SVG files with unusual or namespace-prefixed tags.

journalctl -f | grep 'SanitizeSVG' | grep '<x:'

• generic web: Examine access logs for requests containing SVG files with namespace-prefixed tags. Use grep to search for patterns like <x:script within the request URI.

grep '<x:script' /var/log/apache2/access.log

1. 2026-04-01Disclosure

   disclosure

1. Reserviert2026-03-30
2. Veröffentlicht2026-04-01
3. Geändert2026-04-06
4. EPSS aktualisiert2026-04-08

Die Behebung für CVE-2026-34605 besteht darin, auf die gepatchte Version von Siuan zu aktualisieren: 0.0.0-20260330031106-f09953afc57a. Diese Version korrigiert die SVG-Sanitierungslogik, um <script>-Elemente unabhängig vom Namespace-Präfix korrekt zu erkennen. Als vorübergehende Maßnahme wird empfohlen, eine strenge Content Security Policy (CSP) zu implementieren, die die Ausführung von Skripten aus nicht vertrauenswürdigen Quellen einschränkt. Es ist auch ratsam, dynamisch generierte Symbole von Siuan auf mögliche Injektionen zu überprüfen und zu prüfen.