SiYuan vulnérable à XSS réfléchi via le contournement du préfixe d'espace de noms SVG dans SanitizeSVG (getDynamicIcon, non authentifié)

La vulnérabilité CVE-2026-34605 dans Siuan affecte la fonction SanitizeSVG introduite dans la version 3.6.0 pour corriger une vulnérabilité XSS dans l'endpoint /api/icon/getDynamicIcon non authentifié. Cette fonction, conçue pour empêcher l'injection de scripts malveillants dans les images SVG, peut être contournée en utilisant des noms d'éléments avec des préfixes d'espace de noms, tels que <x:script xmlns:x="http://www.w3.org/2000/svg">. L'analyseur HTML5 de Go enregistre le nom de la balise comme "x:script" au lieu de "script", ce qui permet au filtre de laisser passer la balise sans la détecter. Étant donné que le SVG est servi avec Content-Type: image/svg+xml et sans une Politique de Sécurité du Contenu (CSP), un navigateur qui ouvre directement la réponse peut exécuter le script malveillant, permettant l'exécution de code arbitraire dans le contexte de l'utilisateur.

Users of Siyuan Kernel who are using versions prior to 0.0.0-20260330031106-f09953afc57a are at risk. This includes individuals and organizations relying on Siyuan for note-taking and knowledge management, particularly those who customize the application with custom SVG icons or integrate it with other systems.

• linux / server: Monitor Siyuan Kernel logs for unusual activity related to SVG icon loading. Use journalctl -f to observe real-time log entries. Look for patterns indicating attempts to load or process SVG files with unusual or namespace-prefixed tags.

journalctl -f | grep 'SanitizeSVG' | grep '<x:'

• generic web: Examine access logs for requests containing SVG files with namespace-prefixed tags. Use grep to search for patterns like <x:script within the request URI.

grep '<x:script' /var/log/apache2/access.log

1. 2026-04-01Disclosure

   disclosure

1. Réservé2026-03-30
2. Publiée2026-04-01
3. Modifiée2026-04-06
4. EPSS mis à jour2026-04-08

La correction pour CVE-2026-34605 consiste à mettre à jour vers la version corrigée de Siuan : 0.0.0-20260330031106-f09953afc57a. Cette version corrige la logique de sanitisation SVG pour reconnaître correctement les éléments <script>, quel que soit le préfixe d'espace de noms. En tant que mesure d'atténuation temporaire, il est recommandé de mettre en œuvre une Politique de Sécurité du Contenu (CSP) stricte qui restreigne l'exécution des scripts provenant de sources non fiables. Il est également conseillé de revoir et d'auditer tous les icônes dynamiques générées par Siuan pour détecter d'éventuelles injections.