SanitizeSVG（getDynamicIcon、認証なし）におけるSVG名前空間プレフィックスのバイパスによる、SiYuanのリフレクト型XSS脆弱性

Siuan の CVE-2026-34605 は、バージョン 3.6.0 で導入された SanitizeSVG 関数に影響を与え、認証されていない /api/icon/getDynamicIcon エンドポイントの XSS の脆弱性を修正することを目的としています。 この関数は、SVG 画像への悪意のあるスクリプトの挿入を防ぐように設計されていますが、<x:script xmlns:x="http://www.w3.org/2000/svg"> のような名前空間プレフィックス付きの要素名を使用することで回避できます。 Go の HTML5 パーサーは、要素タグを「x:script」として記録し、「script」として記録しないため、フィルターはタグを検出せずに通過させます。 SVG が Content-Type: image/svg+xml で、Content Security Policy (CSP) なしで提供されるため、応答を直接開くブラウザは悪意のあるスクリプトを実行でき、ユーザーのコンテキストで任意のコードを実行できます。

Users of Siyuan Kernel who are using versions prior to 0.0.0-20260330031106-f09953afc57a are at risk. This includes individuals and organizations relying on Siyuan for note-taking and knowledge management, particularly those who customize the application with custom SVG icons or integrate it with other systems.

• linux / server: Monitor Siyuan Kernel logs for unusual activity related to SVG icon loading. Use journalctl -f to observe real-time log entries. Look for patterns indicating attempts to load or process SVG files with unusual or namespace-prefixed tags.

journalctl -f | grep 'SanitizeSVG' | grep '<x:'

• generic web: Examine access logs for requests containing SVG files with namespace-prefixed tags. Use grep to search for patterns like <x:script within the request URI.

grep '<x:script' /var/log/apache2/access.log

1. 2026-04-01Disclosure

   disclosure

1. 予約済み2026-03-30
2. 公開日2026-04-01
3. 更新日2026-04-06
4. EPSS 更新日2026-04-08

CVE-2026-34605 の修正は、Siuan のパッチバージョンに更新することです: 0.0.0-20260330031106-f09953afc57a。 このバージョンは、SVG サニタイズロジックを修正し、名前空間プレフィックスに関係なく <script> 要素を正しく認識します。 一時的な軽減策として、信頼できないソースからのスクリプト実行を制限する厳格な Content Security Policy (CSP) を実装することをお勧めします。 また、Siuan によって動的に生成されたアイコンを潜在的な挿入に対してレビューおよび監査することも推奨されます。