XSS stockée dans le rendu des blocs mathématiques de SiYuan

Veille sécuritéFrontend

P4Moyenne

SiYuan comporte une XSS stockée dans le rendu des blocs mathématiques : un utilisateur disposant d’un droit de modification peut y insérer des liens `javascript:` qui exécutent du code lorsqu’un lecteur clique dessus. Les versions à partir de 2.10.0 et antérieures à 3.8.7 sont concernées ; mettre à jour vers 3.8.7 ou une version ultérieure.

IdentifiantCVE-2026-116169

GravitéMoyenne

Exploitationnon connue / non déterminée

Correctif3.8.7

Source : NVD — CVE-2026-116169

Analyse technique

La vulnérabilité concerne le rendu de contenu mathématique avec KaTeX en mode trust activé. Des liens intégrés au contenu peuvent être rendus via innerHTML et exécuter du JavaScript dans l’origine de l’application lorsqu’ils sont activés.

Impact, versions et correctif

Événement datéLa fiche NVD indique une publication le 2026-10-25T14:16:56.080Z, dans la période demandée. L’événement retenu est la publication de la vulnérabilité, et non une simple modification administrative.

ImpactUn utilisateur autorisé à modifier du contenu peut provoquer l’exécution de JavaScript dans l’origine de l’application lorsqu’un autre utilisateur active le lien malveillant.

Versions affectéesSiYuan à partir de 2.10.0 et avant 3.8.7

Version corrigée3.8.7

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS5.1

Publication2026-10-25T14:16:56.080Z

Mise à jour2026-10-25T15:17:02.733Z

Action recommandée

Mettre à jour SiYuan vers la version 3.8.7 ou ultérieure et limiter les droits de modification aux utilisateurs de confiance.

Sources

NVD — CVE-2026-116169

Priorisation DFS : P4 · 1 source(s).