SiYuan: bazaar README の不完全なサニタイズは、iframe srcdoc 経由で保存された XSS を許可する (CVE-2026-33066 の不完全な修正)

SiYuan の CVE-2026-40922 は、特に Bazaar README のレンダリングにおいて、保存型のクロスサイトスクリプティング (XSS) 脆弱性を引き起こします。不完全な修正により、Lute HTML サニタイザーが有効になりましたが、<iframe> タグと srcdoc 属性のブロックは行われませんでした。これにより、攻撃者は <iframe> タグの srcdoc 属性内に悪意のある JavaScript コードを挿入できるようになります。このコードは SiYuan Electron アプリケーションのコンテキストで実行され、機密情報の窃取、UI の操作、さらにはアプリケーション全体の制御につながる可能性があります。この脆弱性の重大性は、SiYuan 内のユーザーのセキュリティとデータの整合性を損なう可能性があることにあります。

Users of SiYuan who rely on bazaar packages for extensions or themes are at particular risk. This includes users who frequently install packages from untrusted sources or those who share their SiYuan data with others. Legacy configurations or deployments with outdated security practices are also more vulnerable.

• linux / server: Monitor SiYuan's log files for unusual activity related to bazaar package rendering. Look for patterns indicative of HTML injection attempts.

 grep -i "<iframe>" /path/to/siyuan/logs/readme.log

• generic web: Inspect network traffic for requests to SiYuan's bazaar endpoints with suspicious parameters or payloads.

 curl -v <siyuan_url>/api/bazaar/packages | grep <iframe>

1. 2026-04-16Disclosure

   disclosure

1. 予約済み2026-04-15
2. 公開日2026-04-16
3. 更新日2026-04-20
4. EPSS 更新日2026-04-24

CVE-2026-40922 の主な軽減策は、SiYuan をバージョン 3.6.4 以降に更新することです。このバージョンには、<iframe> タグとその srcdoc 属性をブロックし、悪意のあるスクリプトの実行を防ぐ完全な修正が含まれています。更新を待っている間は、信頼できないソースからの Bazaar README ファイルのインポートを避けてください。さらに、以前にインポートされた README ファイルで悪意のあるコードが含まれていないか確認してクリーンアップしてください。SiYuan アプリケーション内での異常なアクティビティの監視も、潜在的な攻撃の検出に役立ちます。