Veille sécuritéFrontend
P3Élevée
SiYuan versions 2.9.0 à 3.8.6 présente une XSS sur la page non authentifiée /check-auth, qui redirige vers une URL sans valider son schéma. Un lien spécialement construit peut faire exécuter du JavaScript après la connexion et compromettre les données ou paramètres de l’espace de travail; mettez à niveau vers 3.8.7.
JavaScript
IdentifiantCVE-2026-116167
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.8.7
Source : NVD — CVE-2026-116167
Analyse technique
Le paramètre « to » est affecté à window.location.href sans validation du schéma d’URI.
Impact, versions et correctif
Événement datéLa fiche CVE indique une publication le 2026-10-25; l’heure UTC fournie, convertie en +02:00, tombe dans la période demandée.
ImpactExécution de JavaScript après connexion, avec possibilité de lire ou modifier le contenu et les paramètres de l’espace de travail.
Versions affectéesSiYuan 2.9.0 à toute version antérieure à 3.8.7
Version corrigée3.8.7
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS7.6
Publication2026-10-25T16:16:55.733+02:00
Mise à jour2026-10-26T19:17:22.367+02:00
Action recommandée
Mettre à niveau SiYuan vers la version 3.8.7 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).