CVE-2026-45375: Cross-site scripting no Bazaar do SiYuan via campos name e version sem escape
O marketplace comunitário Bazaar do SiYuan exibe os campos name e version dos manifestos de pacotes na interface de Configurações sem escape de HTML, o que permite cross-site scripting. O CNA classifica o problema como crítico, com pontuação base CVSS 3.1 de 9. As fontes indicam que a correção está na versão 3.7.0, e o registro não o lista no catálogo KEV da CISA.
Visão geral
O SiYuan é um sistema de gestão de conhecimento pessoal de código aberto. O problema afeta o marketplace comunitário Bazaar, onde os metadados dos pacotes são exibidos na interface Configurações → Marketplace. Segundo a descrição, os campos name e version dos manifestos (plugins, temas, templates, widgets e ícones) são inseridos em HTML sem escape.
Impacto
- HTML malicioso colocado no campo name ou version de um manifesto pode ser interpretado e executado quando o usuário abre a aba do marketplace.
- O CNA registra pontuação base CVSS 3.1 de 9 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H.
- O vetor indica ataque pela rede, privilégios baixos, necessidade de interação do usuário, mudança de escopo e alto impacto em confidencialidade, integridade e disponibilidade.
Produtos e versões afetadas
- Versões do SiYuan anteriores à 3.7.0, conforme a descrição.
- A lista estruturada de versões afetadas no registro está vazia, portanto não há mais detalhes de versão disponíveis no registro.
Status de exploração
- O registro indica que o CVE não está listado no catálogo KEV da CISA.
- Nenhuma exploração confirmada aparece nas fontes consultadas.
- A probabilidade EPSS registrada é 0,00413, com percentil de 0,33827.
Correção e mitigação
- Atualize o SiYuan para a versão 3.7.0 ou posterior, que a descrição identifica como a versão corrigida.
- Até a atualização, evite instalar pacotes do marketplace de fontes desconhecidas e evite abrir a aba do marketplace em ambientes sensíveis.
- Revise a origem de qualquer pacote de terceiros antes de habilitá-lo.
Orientações de detecção
- Revise os manifestos instalados de plugins, temas, templates, widgets e ícones em busca de caracteres de marcação inesperados nos campos name e version.
- Verifique as fontes dos pacotes do marketplace e as instalações recentes em busca de autores não confiáveis.
- Consulte o aviso de segurança no GitHub para a descrição do próprio fornecedor.
Limitações das informações disponíveis
- O registro não possui título, então os títulos foram escritos a partir da descrição.
- O status da fonte no registro é Deferred, e os campos estruturados de versões afetadas e corrigidas estão vazios.
- As fontes consultadas não descrevem ataques reais, implantações afetadas nem a prevalência de exploração.
- Detalhes da correção do fornecedor além da versão 3.7.0 não constam no registro.
- A entrada no NVD foi listada como página de origem, mas seu conteúdo além do registro não foi revisado aqui.
Perguntas frequentes
Quais versões do SiYuan são afetadas?
Segundo a descrição, as versões anteriores à 3.7.0 são afetadas. A lista estruturada de versões afetadas no registro está vazia, então nenhum outro intervalo de versões é confirmado.
Este CVE é conhecido por ser explorado?
O registro indica que ele não está listado no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
O que os usuários devem fazer?
Atualize para o SiYuan 3.7.0 ou posterior e revise os pacotes de terceiros do marketplace antes de instalá-los ou habilitá-los.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.