SiYuan Desktop: आयातित .sy.zip सामग्री में संग्रहीत XSS (Stored XSS) के कारण मनमाना कमांड निष्पादन

यह भेद्यता हमलावरों के लिए Siyuan Kernel के भीतर मनमाना JavaScript कोड निष्पादित करने का मार्ग खोलती है, खासकर Electron डेस्कटॉप क्लाइंट में। एक हमलावर एक दुर्भावनापूर्ण IAL (Internal Application Language) मान को एक .sy दस्तावेज़ में एम्बेड कर सकता है, इसे .sy.zip के रूप में पैकेज कर सकता है, और फिर पीड़ित को इसे आयात करने के लिए प्रेरित कर सकता है। एक बार नोट खुलने के बाद, दुर्भावनापूर्ण विशेषता अपने मूल HTML संदर्भ से बाहर निकल जाती है और एक इवेंट हैंडलर इंजेक्ट करती है। यह XSS रिमोट कोड निष्पादन (RCE) की ओर ले जा सकता है, जिससे हमलावर सिस्टम पर पूर्ण नियंत्रण प्राप्त कर सकता है, संवेदनशील डेटा चुरा सकता है, या अन्य दुर्भावनापूर्ण गतिविधियाँ कर सकता है। इस भेद्यता का उपयोग फ़िशिंग हमलों, खाता अपहरण और सिस्टम समझौता करने के लिए किया जा सकता है।

Users of Siyuan's Electron desktop client are particularly at risk due to the potential for Remote Code Execution. Individuals who frequently import .sy documents from external sources, especially those who share notes or collaborate with others, are also at higher risk. Shared hosting environments where multiple users share the same Siyuan installation are also vulnerable.

• windows / supply-chain: Monitor PowerShell execution for suspicious commands related to file manipulation and import processes. Check Autoruns for unusual entries related to Siyuan.

Get-Process -Name siyuan | Select-Object -ExpandProperty Path

• linux / server: Monitor system logs (journalctl) for errors or unusual activity related to Siyuan's import functionality.

journalctl -u siyuan -f | grep -i error

• generic web: Examine access and error logs for requests related to importing .sy.zip files. Check for unusual characters or patterns in the request parameters. • database (mysql, redis, mongodb, postgresql): N/A - This vulnerability does not directly impact databases.

1. 2026-04-01Disclosure

   disclosure

2. 2026-03-29Patch

   patch

1. आरक्षित2026-03-30
2. प्रकाशित2026-04-01
3. संशोधित2026-04-06
4. EPSS अद्यतन2026-04-08

CVE-2026-34585 को कम करने का प्राथमिक तरीका Siyuan Kernel को संस्करण 0.0.0-20260329142331-918d1bd9f967 या बाद के संस्करण में अपडेट करना है। यदि तत्काल अपडेट संभव नहीं है, तो एक अस्थायी समाधान के रूप में, अनजाने आयात को रोकने के लिए .sy फ़ाइलों के आयात को अक्षम करने पर विचार करें। इसके अतिरिक्त, वेब एप्लिकेशन फ़ायरवॉल (WAF) नियमों को लागू करें जो दुर्भावनापूर्ण IAL मानों वाले अनुरोधों को फ़िल्टर करते हैं। Siyuan Kernel के नवीनतम संस्करण में अपडेट करने के बाद, यह सुनिश्चित करने के लिए कि भेद्यता को सफलतापूर्वक संबोधित किया गया है, सिस्टम को स्कैन करें और किसी भी असामान्य गतिविधि की निगरानी करें।