JVNDB-2026-008483

B3logのSiYuanにおける複数の脆弱性

SiYuanは個人用知識管理システムです。バージョン3.6.0およびそれ以前では、SanitizeSVGのブロックリストが不完全でした。href属性内のdata:text/htmlおよびdata:image/svg+xmlはブロックしますが、data:text/xmlおよびdata:application/xmlはブロックしていませんでした。これらはJavaScript実行を伴うSVGをレンダリング可能です。認証不要の/api/icon/getDynamicIconエンドポイントは、contentパラメータを介してユーザー制御の入力をfmt.Sprintfを用いてエスケープせずにSVGマークアップに直接埋め込み、Content-Type: image/svg+xmlとして提供します。これによりクリックスルー型XSSが発生します。被害者が細工されたURLにアクセスすると、注入されたリンクを含むSVGが表示され、そのリンクをクリックするとバイパスされたMIMEタイプ経由でJavaScriptがトリガーされます。この攻撃はエンドポイントへの直接のナビゲーションかobjectタグもしくはembedタグによる埋め込みが必要であり、フロントエンドのimgタグレンダリングではインタラクティブなリンクは許されません。この問題はバージョン3.6.1で修正されました。

B3log

• SiYuan 3.6.1 未満

本脆弱性の影響を受ける製品の詳細については、ベンダ情報および参考情報をご確認ください。

当該ソフトウェアが扱う情報の一部が外部に漏れる可能性があります。
また、当該ソフトウェアが扱う情報の一部が書き換えられる可能性があります。
さらに、当該ソフトウェアは停止しません。
そして、この脆弱性を悪用した攻撃により、他のソフトウェアにも影響が及ぶ可能性があります。

正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。

GitHub

• GitHub : SiYuan: Unauthenticated Reflected XSS via SVG Injection in /api/icon/getDynamicIcon Endpoint  CVE-2026-29183  GitHub Advisory Database  GitHub
• GitHub : SanitizeSVG bypass via data:text/xml in getDynamicIcon (incomplete fix for CVE-2026-29183)  Advisory  siyuan-note/siyuan  GitHub

1. 不完全なブラックリスト(CWE-184) [その他]
2. クロスサイトスクリプティング(CWE-79) [その他]

1. CVE-2026-32940

1. National Vulnerability Database (NVD) : CVE-2026-32940
2. 関連文書 : Release Improve details  siyuan-note/siyuan  GitHub
3. 関連文書 : :lock: https://github.com/siyuan-note/siyuan/security/advisories/GHSA…  siyuan-note/siyuan@d01d561  GitHub

• [2026年03月25日]
    掲載