SiYuan: अनुमति देने वाली CORS नीति और जावास्क्रिप्ट स्निपेट इंजेक्शन (JavaScript Snippet Injection) के माध्यम से क्रॉस-ओरिजिन RCE

SiYuan में CVE-2026-34449 भेद्यता सॉफ्टवेयर चलाने वाले किसी भी डेस्कटॉप पर रिमोट कोड एग्जीक्यूशन (RCE) की अनुमति देती है। यह अत्यधिक उदार क्रॉस-ओरिजिन रिसोर्स शेयरिंग (CORS) कॉन्फ़िगरेशन के कारण है, जो दुर्भावनापूर्ण वेबसाइट को SiYuan API के माध्यम से JavaScript कोड इंजेक्ट करने की अनुमति देता है। Access-Control-Allow-Origin: * सेटिंग, साथ ही Access-Control-Allow-Private-Network: true, इस इंजेक्शन को सरल बनाता है। इंजेक्ट किए गए कोड को SiYuan के भीतर Electron Node.js संदर्भ में निष्पादित किया जाएगा, जिससे हमलावर को ऑपरेटिंग सिस्टम तक पूर्ण पहुंच प्राप्त होगी। SiYuan चल रहे होने के दौरान दुर्भावनापूर्ण वेबसाइट पर जाने के अलावा उपयोगकर्ता को किसी भी इंटरैक्शन की आवश्यकता नहीं है।

Users of SiYuan who are running versions prior to 3.6.2 are at significant risk. This includes individuals using SiYuan for personal note-taking, as well as organizations that rely on SiYuan for collaborative knowledge management. Users who frequently visit untrusted websites or have a history of clicking on suspicious links are particularly vulnerable.

• linux / server: Monitor SiYuan's API endpoints for unusual JavaScript requests using journalctl -f -u siyuan. Look for POST requests containing suspicious JavaScript code. • generic web: Use curl to test SiYuan's API endpoints with crafted requests containing JavaScript payloads. Examine the response headers for any signs of code execution. • windows / supply-chain: Monitor PowerShell execution logs (Get-WinEvent -LogName Application -Filter "[System[Provider[@Name='PowerShell']]]" | Where-Object {$_.Message -like 'siyuan'}) • database (generic): Examine SiYuan's configuration files for any unusual CORS settings or API keys that could be exploited.

1. 2026-03-31Disclosure

   disclosure

2. 2026-03-31Patch

   patch

1. आरक्षित2026-03-27
2. प्रकाशित2026-03-31
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-08

अनुशंसित समाधान SiYuan को संस्करण 3.6.2 या बाद के संस्करण में अपडेट करना है। यह संस्करण प्रतिबंधात्मक CORS कॉन्फ़िगरेशन को ठीक करता है, जिससे दुर्भावनापूर्ण कोड इंजेक्शन की संभावना समाप्त हो जाती है। यदि तुरंत अपडेट करना संभव नहीं है, तो SiYuan API को अक्षम करने की अनुशंसा की जाती है यदि इसका उपयोग नहीं किया जा रहा है। SiYuan चल रहे होने पर अज्ञात या संदिग्ध वेबसाइटों पर जाने में भी सावधानी बरतना महत्वपूर्ण है। SiYuan की नेटवर्क गतिविधि की निगरानी संभावित शोषण प्रयासों का पता लगाने में भी मदद कर सकती है।