Stored XSS to RCE in SiYuan via Lute Sanitizer Gap (CVE-2025-59033) and PoC

脆弱性概要 标题：SiYuan 通过 Lute 的逐属性 URL 协议净化器缺口导致的存储型 XSS 至 RCE（form action / SVG xlink:href） 描述：SiYuan 通过 Lute 引擎将笔记和软件包内容渲染为 HTML，并启用了净化处理（ ）。Lute 的净化器仅拦截 或 中的 协议，但未检查 或 SVG 的 。因此， 和 能够成功注入并执行。 严重程度：严重 CVE 编号：CVE-2025-59033 弱点： CWE-79 (存储型 XSS) CWE-94 (代码生成的不当控制) CWE-116 (输出的不当编码或转义) 影响范围 SiYuan v3.6.5（当前发布版本）：桌面 (Electron) 构建可升级为 RCE；web 服务器构建在 SiYuan 源码中为 XSS。 Lute：从 GitHub 仓库 (8f25b) 到 Lute 主分支（截至 2025-06-09）的构建尚未修复。 Vditor：(Vanesa259/vditor 3.11.2) 在库级别受到影响（相同的 Lute 净化器）。这三个项目共享相同的维护者 (B3log)。 修复方案 1. 主要修复 (Lute)：在 中，对所有承载 URL 的属性运行现有的危险协议检查——至少包括 和 ——而不仅仅是 或 。此单一修复可覆盖 SiYuan 和 Vditor。 2. SiYuan 纵深防御：在导出预览 (export-preview) 和 Bazaar README HTML 渲染之前应用 DOMPurify（已针对某些 SVG 元素应用）；降低渲染器的 CSP；并将渲染器设置为 / ，以便未来的 XSS 不会触发 Node 的 。 PoC 代码 验证 已确认在发布的 SiYuan v3.6.5 内核中端到端生效：实际的 响应确实包含 和 ，控件标签被剥离，但保存的 HTML 执行 JS 并执行 。已在另一台机器上独立复现，警报有效载荷返回 函数，计算器有效载荷启动计算器（详细日志可根据要求提供）。 影响 任何打开由攻击者创建的笔记在导出预览中，或查看恶意社区 (Bazaar) 软件包，并点击渲染元素的用户，都将在其机器上执行攻击者选定的操作系统命令——包括文件读写、持久化、横向移动。Bazaar 路径是一个市场供应链向量，无需受害者事先访问即可触达。 新颖性 区别于 GHSA-rh5v-4c68-f6pw（Lute #frame-element 白名单缺口）和 CVE-2025-48922（Mermaid 自身 SVG 生成中的 XSS）。现有公告均未涵盖在 下存活的 / 。（相关数据： javascript:` 属性向量仍然存活。） 协调披露 根本原因位于上游 Lute 库中；由于相同的维护者 (B3log) 维护 Lute、SiYuan 和 Vditor，因此对 Lute 的单一修复可解决所有三个项目。Vditor 也受到影响，应当一并修复。请求进行协调披露，90 天窗口期，并在确认后分配 CVE。 致谢 由 kalllass (https://github.com/kalllass) 报告——独立安全研究，已授权进行本地测试。

目標達成すべての支援者に感謝 — 100%達成しました！

Stored XSS to RCE in SiYuan via Lute Sanitizer Gap (CVE-2025-59033) and PoC

このソースからの他の記事

目標達成 すべての支援者に感謝 — 100%達成しました！

Stored XSS to RCE in SiYuan via Lute Sanitizer Gap (CVE-2025-59033) and PoC

このソースからの他の記事

目標達成すべての支援者に感謝 — 100%達成しました！