SiYuan kwetsbaar voor reflected XSS via SVG namespace prefix bypass in SanitizeSVG (getDynamicIcon, niet-geauthenticeerd)

CVE-2026-34605 in Siuan beïnvloedt de functie SanitizeSVG die geïntroduceerd is in versie 3.6.0 om een XSS-kwetsbaarheid in de niet-geauthenticeerde /api/icon/getDynamicIcon endpoint te verhelpen. Deze functie, ontworpen om het injecteren van kwaadaardige scripts in SVG-afbeeldingen te voorkomen, kan omzeild worden door elementnamen met namespace-prefixen te gebruiken, zoals <x:script xmlns:x="http://www.w3.org/2000/svg">. De Go HTML5 parser registreert de elementtag als "x:script" in plaats van "script", waardoor de filter de tag ongezien laat passeren. Aangezien de SVG wordt geserveerd met Content-Type: image/svg+xml en zonder Content Security Policy (CSP), kan een browser die de reactie direct opent, het kwaadaardige script uitvoeren, waardoor code in de context van de gebruiker kan worden uitgevoerd.

Users of Siyuan Kernel who are using versions prior to 0.0.0-20260330031106-f09953afc57a are at risk. This includes individuals and organizations relying on Siyuan for note-taking and knowledge management, particularly those who customize the application with custom SVG icons or integrate it with other systems.

• linux / server: Monitor Siyuan Kernel logs for unusual activity related to SVG icon loading. Use journalctl -f to observe real-time log entries. Look for patterns indicating attempts to load or process SVG files with unusual or namespace-prefixed tags.

journalctl -f | grep 'SanitizeSVG' | grep '<x:'

• generic web: Examine access logs for requests containing SVG files with namespace-prefixed tags. Use grep to search for patterns like <x:script within the request URI.

grep '<x:script' /var/log/apache2/access.log

1. 2026-04-01Disclosure

   disclosure

1. Gereserveerd2026-03-30
2. Gepubliceerd2026-04-01
3. Gewijzigd2026-04-06
4. EPSS bijgewerkt2026-04-08

De oplossing voor CVE-2026-34605 is om te updaten naar de gepatchte versie van Siuan: 0.0.0-20260330031106-f09953afc57a. Deze versie corrigeert de SVG-sanitizatie logica om <script> elementen correct te herkennen, ongeacht namespace-prefixen. Als tijdelijke mitigatie wordt het aanbevolen om een strikte Content Security Policy (CSP) te implementeren die de uitvoering van scripts van niet-vertrouwde bronnen beperkt. Het is ook raadzaam om dynamisch gegenereerde iconen door Siuan te beoordelen en te auditeren op mogelijke injecties.