PT-2026-64995 · Siyuan · Siyuan

Joyghoshs · CVE-2026-66394 · Publicado 2026-07-27 · Atualizado 2026-07-27

Positive Technologies (AI Summary) · Pt

CVSS v4.0

9.3

Crítica

Vetor base

AV:N/AC:L/AT:N/PR:L/UI:P/VC:H/VI:H/VA:N/SC:H/SI:H/SA:N

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.7.3

Description Problemas de cross-site scripting armazenado e refletido existem na sanitização de SVG. Atacantes autenticados podem burlar o limpador baseado em parser HTML ocultando tags de script dentro dos elementos desc, style ou noscript. Enquanto o parser HTML trata esses elementos como texto puro, os navegadores os interpretam como conteúdo SVG executável quando servidos como image/svg+xml, permitindo a execução de scripts na origem da aplicação.

Recommendations Atualize para a versão 3.7.3 ou posterior.

Exploit

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-66394

GHSA-99RQ-75J6-5J9F

Produtos afetados

Siyuan

Referências · 6

• 🔥 https://github.com/siyuan-note/siyuan/security/advisories/GHSA-99rq-75j6-5j9f · Exploit
• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2026/66xxx/CVE-2026-66394.json · Exploit
• https://osv.dev/vulnerability/CVE-2026-66394 · Aviso do Fabricante
• https://t.me/CVEtracker/61363 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-66394 · Nota de Segurança
• https://vulncheck.com/advisories/siyuan-before-stored-and-reflected-xss-via-svg-sanitizer-bypass · Nota