प्लेटफ़ॉर्म
go
घटक
github.com/siyuan-note/siyuan/kernel
में ठीक किया गया
3.6.2
0.0.1
3.6.2
CVE-2026-32749 Siyuan Kernel में एक गंभीर पथ ट्रैवर्सल भेद्यता है। यह भेद्यता हमलावरों को मनमाने स्थानों पर फ़ाइलें लिखने की अनुमति देती है, जिससे रिमोट कोड एग्जीक्यूशन (RCE) हो सकता है। यह भेद्यता Siyuan Kernel के संस्करणों में मौजूद है जो 0.0.0-20260313024916-fd6526133bb3 से कम या उसके बराबर हैं। इस समस्या को हल करने के लिए संस्करण 3.6.1 में एक पैच जारी किया गया है।
यह भेद्यता Siyuan Kernel के /api/import/importSY और /api/import/importZipMd एंडपॉइंट्स में मौजूद है। हमलावर एक विशेष रूप से तैयार की गई फ़ाइल अपलोड करके, फ़ाइल पथ को नियंत्रित कर सकते हैं, जिससे वे अस्थायी निर्देशिका के बाहर मनमाने स्थानों पर फ़ाइलें लिख सकते हैं। यह क्षमता हमलावरों को सिस्टम फ़ाइलों को संशोधित करने, दुर्भावनापूर्ण कोड निष्पादित करने और अंततः सर्वर पर नियंत्रण हासिल करने की अनुमति दे सकती है। इस भेद्यता का शोषण करने से संवेदनशील डेटा का समझौता, सिस्टम की अखंडता का उल्लंघन और सेवा से इनकार हो सकता है। यह भेद्यता Log4Shell जैसे शोषण पैटर्न के समान है, जहां इनपुट को ठीक से मान्य नहीं किया जाता है, जिससे हमलावरों को अनपेक्षित कार्यों को करने की अनुमति मिलती है।
CVE-2026-32749 को अभी तक CISA KEV सूची में शामिल नहीं किया गया है। EPSS स्कोर की जानकारी उपलब्ध नहीं है। सार्वजनिक रूप से उपलब्ध प्रूफ-ऑफ-कॉन्सेप्ट (PoC) अभी तक ज्ञात नहीं हैं, लेकिन भेद्यता की गंभीरता और संभावित प्रभाव को देखते हुए, इसका सक्रिय रूप से शोषण किए जाने का जोखिम है। NVD और CISA द्वारा प्रकाशन की तारीख 2026-03-16 है।
Administrators of Siyuan note-taking applications are at the highest risk. Specifically, deployments where administrative users have unrestricted file upload privileges are particularly vulnerable. Shared hosting environments where multiple users share the same Siyuan instance also face increased risk, as a compromised administrator account could impact all users on the system.
• linux / server:
journalctl -u siyuan -g "importSY" -g "importZipMd"• generic web:
curl -I 'http://your-siyuan-server/api/import/importSY?file=../../../../etc/passwd' # Check for 200 OK or other unexpected responses• generic web:
Grep access logs for requests containing suspicious filenames like ../../ or ..\ in the file parameter of the /api/import/importSY or /api/import/importZipMd endpoints.
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.08% (24% शतमक)
CISA SSVC
CVSS वेक्टर
CVE-2026-32749 के प्रभाव को कम करने के लिए, Siyuan Kernel को तुरंत संस्करण 3.6.1 में अपडेट करना महत्वपूर्ण है। यदि अपग्रेड संभव नहीं है, तो एक अस्थायी समाधान के रूप में, वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करके /api/import/importSY और /api/import/importZipMd एंडपॉइंट्स पर अपलोड की गई फ़ाइलों के लिए फ़ाइल पथ को मान्य किया जा सकता है। सुनिश्चित करें कि अपलोड की गई फ़ाइलों के लिए फ़ाइल नाम और एक्सटेंशन को ठीक से सैनिटाइज किया गया है। इसके अतिरिक्त, अस्थायी निर्देशिका के लिए सख्त अनुमतियाँ लागू करें ताकि केवल Siyuan Kernel प्रक्रिया ही उस तक पहुंच सके। अपलोड की गई फ़ाइलों की निगरानी करें और किसी भी असामान्य गतिविधि के लिए अलर्ट सेट करें। अपग्रेड के बाद, यह सत्यापित करें कि भेद्यता ठीक हो गई है, अपलोड की गई फ़ाइलों के साथ पथ ट्रैवर्सल प्रयासों का अनुकरण करके।
Actualice SiYuan a la versión 3.6.1 o superior. Esto corrige la vulnerabilidad de path traversal que permite la escritura arbitraria de archivos. Si está utilizando SiYuan en un contenedor Docker, asegúrese de actualizar la imagen del contenedor.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2026-32749 Siyuan Kernel में एक पथ ट्रैवर्सल भेद्यता है जो हमलावरों को मनमाने स्थानों पर फ़ाइलें लिखने की अनुमति देती है, जिससे संभावित रूप से RCE हो सकता है।
यदि आप Siyuan Kernel के संस्करण 0.0.0-20260313024916-fd6526133bb3 से कम या उसके बराबर का उपयोग कर रहे हैं, तो आप प्रभावित हैं।
Siyuan Kernel को संस्करण 3.6.1 में अपडेट करें। यदि अपग्रेड संभव नहीं है, तो WAF या प्रॉक्सी का उपयोग करके फ़ाइल पथ को मान्य करें।
हालांकि सार्वजनिक PoC ज्ञात नहीं हैं, भेद्यता की गंभीरता को देखते हुए, सक्रिय रूप से शोषण किए जाने का जोखिम है।
आधिकारिक सलाहकार Siyuan प्रोजेक्ट वेबसाइट पर उपलब्ध होना चाहिए, लेकिन प्रकाशन की तारीख 2026-03-16 है, इसलिए यह तुरंत उपलब्ध नहीं हो सकता है।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी go.mod फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।