SiYuan: प्राधिकरण बाईपास (Authorization Bypass) सर्च एपीआई के माध्यम से मनमाना एसक्यूएल निष्पादन (Arbitrary SQL Execution) की अनुमति देता है

यह SQL इंजेक्शन भेद्यता हमलावर को डेटाबेस में मनमाना SQL कमांड निष्पादित करने की अनुमति देती है। इसका मतलब है कि हमलावर संवेदनशील डेटा जैसे उपयोगकर्ता नाम, पासवर्ड, नोट्स और अन्य गोपनीय जानकारी तक पहुंच प्राप्त कर सकता है। वे डेटाबेस को संशोधित या हटा भी सकते हैं, जिससे एप्लिकेशन की कार्यक्षमता बाधित हो सकती है। इस भेद्यता का उपयोग डेटा चोरी, डेटा विरूपण और सेवा से इनकार (DoS) हमलों सहित विभिन्न दुर्भावनापूर्ण उद्देश्यों के लिए किया जा सकता है। चूंकि यह भेद्यता प्रमाणित उपयोगकर्ताओं को भी प्रभावित करती है, इसलिए हमलावर एप्लिकेशन में पहले से ही समझौता किए गए खाते का उपयोग करके इसका फायदा उठा सकते हैं। यह भेद्यता Log4Shell जैसी शोषण पैटर्न के समान है, जहां एक साधारण इनपुट परिवर्तन के माध्यम से गंभीर परिणाम प्राप्त किए जा सकते हैं।

Organizations and individuals using SiYuan Note, particularly those with sensitive data stored within the application, are at risk. Shared hosting environments where multiple users share a single SiYuan Note instance are especially vulnerable, as a compromised user account could potentially impact the entire environment. Users relying on legacy configurations or outdated versions of SiYuan Note are also at increased risk.

• linux / server: Monitor SiYuan Note application logs for unusual SQL queries, particularly those involving the /api/search/fullTextSearchBlock endpoint. Use journalctl -u siyuan to filter for relevant log entries.

journalctl -u siyuan | grep '/api/search/fullTextSearchBlock'

• database (mysql, redis, mongodb, postgresql): If SiYuan Note uses a database accessible from the server, monitor for suspicious SQL queries. For example, using mysql:

mysql -u <user> -p -e "SHOW PROCESSLIST;"

• generic web: Monitor web server access logs for requests to /api/search/fullTextSearchBlock with unusual parameters. Use grep to search for suspicious patterns.

grep '/api/search/fullTextSearchBlock' /var/log/apache2/access.log

1. 2026-03-13Discovery

   discovery

2. 2026-03-16Disclosure

   disclosure

1. आरक्षित2026-03-13
2. प्रकाशित2026-03-16
3. संशोधित2026-03-30
4. EPSS अद्यतन2026-03-27

SiYuan Note को संस्करण 3.6.1 में अपग्रेड करना इस भेद्यता को ठीक करने का प्राथमिक तरीका है। यदि अपग्रेड करना संभव नहीं है, तो एक अस्थायी समाधान के रूप में, /api/search/fullTextSearchBlock एंडपॉइंट पर इनपुट सत्यापन और प्राधिकरण जांच लागू की जा सकती है। यह सुनिश्चित करना महत्वपूर्ण है कि उपयोगकर्ता द्वारा प्रदान किए गए इनपुट को डेटाबेस क्वेरी में उपयोग करने से पहले ठीक से सैनिटाइज किया जाए। वेब एप्लिकेशन फ़ायरवॉल (WAF) का उपयोग SQL इंजेक्शन हमलों को ब्लॉक करने के लिए भी किया जा सकता है। इसके अतिरिक्त, डेटाबेस उपयोगकर्ता खातों को न्यूनतम आवश्यक विशेषाधिकारों के साथ कॉन्फ़िगर किया जाना चाहिए ताकि भेद्यता का फायदा उठाने पर होने वाले नुकसान को कम किया जा सके। अपग्रेड के बाद, यह सत्यापित करें कि /api/search/fullTextSearchBlock एंडपॉइंट अब SQL इंजेक्शन के प्रति संवेदनशील नहीं है, एक परीक्षण SQL क्वेरी निष्पादित करके।