SiYuan: Omisión de Autorización Permite la Ejecución Arbitraria de SQL a través de la API de Búsqueda

La inyección SQL en SiYuan Note permite a un atacante autenticado, incluso con el rol de Reader, ejecutar consultas SQL arbitrarias contra la base de datos de la aplicación. Esto significa que un atacante podría leer, modificar o eliminar datos confidenciales, incluyendo información de usuarios, notas y configuraciones. Además, podrían ejecutar comandos destructivos como DROP TABLE, comprometiendo la integridad de la base de datos y la disponibilidad del servicio. La falta de autorización en el procesamiento de la entrada del usuario amplifica significativamente el impacto potencial de esta vulnerabilidad, similar a otros casos de inyección SQL donde la falta de validación de entrada conduce a la ejecución de código arbitrario en la base de datos.

Organizations and individuals using SiYuan Note, particularly those with sensitive data stored within the application, are at risk. Shared hosting environments where multiple users share a single SiYuan Note instance are especially vulnerable, as a compromised user account could potentially impact the entire environment. Users relying on legacy configurations or outdated versions of SiYuan Note are also at increased risk.

• linux / server: Monitor SiYuan Note application logs for unusual SQL queries, particularly those involving the /api/search/fullTextSearchBlock endpoint. Use journalctl -u siyuan to filter for relevant log entries.

journalctl -u siyuan | grep '/api/search/fullTextSearchBlock'

• database (mysql, redis, mongodb, postgresql): If SiYuan Note uses a database accessible from the server, monitor for suspicious SQL queries. For example, using mysql:

mysql -u <user> -p -e "SHOW PROCESSLIST;"

• generic web: Monitor web server access logs for requests to /api/search/fullTextSearchBlock with unusual parameters. Use grep to search for suspicious patterns.

grep '/api/search/fullTextSearchBlock' /var/log/apache2/access.log

1. 2026-03-13Discovery

   discovery

2. 2026-03-16Disclosure

   disclosure

1. Reservado2026-03-13
2. Publicada2026-03-16
3. Modificada2026-03-30
4. EPSS actualizado2026-03-27

La mitigación principal para CVE-2026-32767 es actualizar SiYuan Note a la versión 3.6.1 o superior, que incluye la corrección de la vulnerabilidad. Si la actualización a la versión 3.6.1 causa problemas de compatibilidad, considere un rollback a una versión anterior conocida como estable, aunque esto no elimina la vulnerabilidad. Como medida complementaria, se recomienda implementar reglas en un Web Application Firewall (WAF) para bloquear solicitudes que contengan el parámetro method=2 en el endpoint /api/search/fullTextSearchBlock. Además, revise la configuración de la base de datos SQLite para asegurar que los permisos de usuario sean lo más restrictivos posible.