CVE-2026-32940 — 神龙十问 AI 深度分析摘要

🚨 **本质**：SiYuan 的 SVG 清洗逻辑有漏洞。 🔥 **后果**：攻击者可植入恶意脚本，导致 **点击型 XSS**。 💥 **影响**：用户打开恶意内容时，浏览器执行恶意代码。

🔍 **CWE**：CWE-79 (跨站脚本)。 🐛 **缺陷**：`SanitizeSVG` 函数 **阻止列表不完整**。 ❌ **问题**：未对用户输入进行有效 **转义**，导致恶意 SVG 逃逸。

📦 **产品**：SiYuan (思源笔记)。 👤 **厂商**：siyuan-note。 📅 **版本**：**3.6.0 及之前版本** 均受影响。

🕵️ **权限**：无需管理员权限，普通用户即可触发。 💾 **数据**：可窃取 **Cookie/Session**，劫持用户会话。 🎭 **行为**：模拟用户操作，读取敏感笔记内容。

🚪 **认证**：无需认证 (PR:N)。 👀 **交互**：需要用户 **点击/查看** (UI:R)。 🌐 **网络**：远程利用 (AV:N)。 ⚡ **难度**：低 (AC:L)，门槛不高。

📜 **PoC**：数据中未提供现成 Exp (pocs: [])。 🌍 **在野**：暂无在野利用报告。 ⚠️ **注意**：虽无公开 Exp，但原理简单，构造容易。

🔎 **自查**：检查是否使用 **SiYuan < 3.6.1**。 📝 **场景**：导入或编辑包含 **SVG 标签** 的笔记。 🛡️ **扫描**：关注 `SanitizeSVG` 相关组件的输入验证。

✅ **已修复**：官方已发布补丁。 📌 **版本**：升级至 **v3.6.1** 或更高版本。 🔗 **详情**：参考 GitHub Release 及安全公告 (GHSA-4mx9-3c2h-hwhg)。

🛑 **临时规避**：禁止导入/编辑 **SVG 文件**。 🚫 **过滤**：在笔记中手动移除或禁用 **SVG 标签**。 📉 **降级**：若无法升级，限制用户交互，避免点击未知来源内容。

🔥 **优先级**：**高**。 📊 **CVSS**：H (严重)，C:H, I:H。 🚀 **建议**：立即升级至 **v3.6.1**，修复 XSS 风险，保护隐私数据。