原文

SiYuanは個人用知識管理システムです。バージョン3.6.2以前には、HTMLエンティティと生の特殊文字が混在する際にサーバー側の属性エスケープを回避できる細工されたブロック属性値の脆弱性が存在していました。攻撃者は悪意のあるIAL値を.syドキュメント内に埋め込み、.sy.zipとしてパッケージ化し、被害者が通常のインポート - SiYuan .sy.zipのワークフローを通じてそれをインポートさせることが可能です。ノートが開かれると、悪意のある属性が元のHTMLコンテキストから脱出してイベントハンドラを注入し、その結果として保存型XSSを引き起こします。Electronデスクトップクライアントでは、このXSSにより注入されたJavaScriptがNode/Electron APIにアクセスして実行されるため、リモートコード実行に至ります。この問題はバージョン3.6.2で修正されています。