Plateforme
go
Composant
github.com/siyuan-note/siyuan/kernel
Corrigé dans
3.6.3
0.0.0-20260329142331-918d1bd9f967
Une vulnérabilité de type Cross-Site Scripting (XSS) a été découverte dans le noyau de SiYuan, un éditeur de notes. Cette faille permet à un attaquant d'injecter des scripts malveillants en manipulant les valeurs des attributs des blocs, contournant ainsi l'échappement côté serveur. L'impact est significatif, pouvant mener à l'exécution de code à distance dans le client Electron, affectant les versions antérieures à 0.0.0-20260329142331-918d1bd9f967. Une correction a été publiée.
L'exploitation de cette vulnérabilité permet à un attaquant de créer un document SiYuan (.sy) contenant des attributs malveillants. Ce document est ensuite compressé en un fichier .sy.zip et importé par la victime via la fonctionnalité d'importation standard. Une fois le document ouvert, les attributs malveillants s'échappent de leur contexte HTML initial, injectant un gestionnaire d'événements. Dans le client Electron, cette injection XSS aboutit à une exécution de code à distance, car le JavaScript injecté s'exécute avec les privilèges de l'application. Cela pourrait permettre à un attaquant de voler des informations sensibles, de modifier le comportement de l'application, ou même de prendre le contrôle du système de la victime.
Cette vulnérabilité a été rendue publique le 2026-04-01. Il n'y a pas d'indication d'une exploitation active à ce jour, ni de mention sur le KEV de CISA. L'existence d'un Proof of Concept (PoC) public n'est pas confirmée, mais la nature de la vulnérabilité XSS suggère qu'un tel PoC pourrait être développé rapidement.
Users of Siyuan's Electron desktop client are particularly at risk due to the potential for Remote Code Execution. Individuals who frequently import .sy documents from external sources, especially those who share notes or collaborate with others, are also at higher risk. Shared hosting environments where multiple users share the same Siyuan installation are also vulnerable.
• windows / supply-chain: Monitor PowerShell execution for suspicious commands related to file manipulation and import processes. Check Autoruns for unusual entries related to Siyuan.
Get-Process -Name siyuan | Select-Object -ExpandProperty Path• linux / server: Monitor system logs (journalctl) for errors or unusual activity related to Siyuan's import functionality.
journalctl -u siyuan -f | grep -i error• generic web: Examine access and error logs for requests related to importing .sy.zip files. Check for unusual characters or patterns in the request parameters.
• database (mysql, redis, mongodb, postgresql): N/A - This vulnerability does not directly impact databases.
disclosure
patch
Statut de l'Exploit
EPSS
0.07% (percentile 21%)
CISA SSVC
Vecteur CVSS
La mitigation principale consiste à mettre à jour SiYuan vers la version corrigée 0.0.0-20260329142331-918d1bd9f967. Si la mise à jour est problématique, envisagez de restaurer une sauvegarde antérieure à l'importation du document suspect. En attendant, désactivez temporairement la fonctionnalité d'importation de fichiers .sy.zip si possible. Surveillez les logs d'accès et d'erreurs pour détecter des tentatives d'importation de fichiers suspects. Bien qu'il n'existe pas de signature Sigma ou YARA spécifique, une analyse du code source pourrait révéler des motifs d'injection XSS à surveiller.
Mettez à jour SiYuan vers la version 3.6.2 ou ultérieure. Cette version contient une correction pour la vulnérabilité XSS stockée qui permet l'exécution de commandes arbitraires. La mise à jour peut être effectuée via le système de mise à jour intégré à l'application ou en téléchargeant la dernière version depuis le site web officiel.
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-34585 is a stored Cross-Site Scripting (XSS) vulnerability in Siyuan Kernel that allows attackers to inject malicious JavaScript through crafted .sy documents.
You are affected if you are using Siyuan Kernel versions prior to 0.0.0-20260329142331-918d1bd9f967, especially if you use the Electron desktop client.
Upgrade to version 0.0.0-20260329142331-918d1bd9f967 or later. Restrict import of untrusted .sy.zip files.
There is currently no evidence of active exploitation, but the potential for RCE makes it a likely target.
Refer to the official Siyuan project website and GitHub repository for the latest security advisories and updates.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier go.mod et nous te dirons instantanément si tu es affecté.