CVE-2026-116169
Beschrijving NL
SiYuan van versie 2.10.0 tot en met 3.8.7 bevat een opgeslagen cross-site scripting-kwetsbaarheid waarmee gebruikers met bewerkingsrechten scripts kunnen injecteren door `javascript:` URL's in wiskundige blokken te plaatsen die worden weergegeven met KaTeX-vertrouwen ingeschakeld. Aanvallers kunnen `href`, `url` of `includegraphics` payloads opslaan die `mathRender` via `innerHTML` toewijst, waardoor scripts in de applicatie-origin worden uitgevoerd wanneer een lezer op de weergegeven link klikt.
Origineel (Engels) tonen
SiYuan from 2.10.0 before 3.8.7 contains a stored cross-site scripting vulnerability that allows users with edit permission to inject script by placing javascript: URLs in math block content rendered with KaTeX trust enabled. Attackers can store href, url, or includegraphics payloads that mathRender assigns via innerHTML, executing script in the application origin when a reader clicks the rendered link.