SiYuan: Reflected XSS No Autenticado vía Inyección SVG en el Endpoint /api/icon/getDynamicIcon

La vulnerabilidad XSS reflejada en SiYuan Kernel permite a un atacante ejecutar código JavaScript arbitrario en el contexto del navegador del usuario. Dado que la API es unauthenticated, un atacante puede crear una URL maliciosa que, al ser visitada por un usuario autenticado en SiYuan, inyecta el código malicioso. Este código puede ser utilizado para robar cookies de sesión, redirigir al usuario a sitios web maliciosos, o incluso realizar acciones en nombre del usuario dentro de SiYuan, como modificar o eliminar notas. La gravedad de esta vulnerabilidad radica en la facilidad de explotación y el potencial de acceso a información confidencial y control sobre la aplicación.

Organizations and individuals using SiYuan Kernel are at risk, particularly those who rely on the application for sensitive data management or collaboration. Users who have not implemented proper input validation and output encoding practices are especially vulnerable. Shared hosting environments where multiple users share the same SiYuan instance are also at increased risk, as a single compromised instance could affect all users.

• linux / server: Monitor SiYuan logs for requests to /api/icon/getDynamicIcon with type=8 and suspicious content parameters. Use journalctl -f -u siyuan to monitor logs in real-time.

journalctl -f -u siyuan | grep '/api/icon/getDynamicIcon?type=8'

• generic web: Use curl to test the endpoint with a malicious SVG payload and examine the response for signs of code execution.

curl 'http://<siyuan_server>/api/icon/getDynamicIcon?type=8&content=<svg onload=alert("XSS")>' -s

• generic web: Check access and error logs for unusual requests to the endpoint. • wordpress / composer / npm: N/A - This vulnerability is specific to the SiYuan Kernel, not a WordPress plugin or Node.js package. • database (mysql, redis, mongodb, postgresql): N/A - This vulnerability does not directly impact database systems. • windows / supply-chain: N/A - This vulnerability does not directly impact Windows systems or supply chains.

1. 2026-03-04Disclosure

   disclosure

1. Reservado2026-03-04
2. Publicada2026-03-04
3. Modificada2026-04-02
4. EPSS actualizado2026-03-23

La mitigación principal es actualizar SiYuan Kernel a la versión 0.0.0-20260304034809-d68bd5a79391 o superior, que incluye la corrección para esta vulnerabilidad. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de seguridad adicionales, como la validación y el saneamiento de todas las entradas de usuario en el lado del servidor, especialmente el parámetro content en la API de iconos dinámicos. Además, se puede considerar el uso de un Web Application Firewall (WAF) para filtrar solicitudes maliciosas. Verifique la integridad de la instalación de SiYuan después de la actualización para asegurar que no haya sido comprometida.