プラットフォーム
go
コンポーネント
github.com/siyuan-note/siyuan/kernel
修正版
3.5.6
0.0.1
SiYuan Kernelにおいて、ファイル読み込みAPIのケース感度バイパスにより、パス・トラバーサル脆弱性が存在します。この脆弱性を悪用されると、攻撃者はファイルシステム内の機密ファイルに不正にアクセスできる可能性があります。影響を受けるバージョンは特定されていませんが、3.5.5以降で修正されています。迅速なアップデートを推奨します。
このパス・トラバーサル脆弱性は、攻撃者がSiYuan Kernelが実行されているサーバー上のファイルシステムを自由に探索することを可能にします。機密情報（ユーザーデータ、設定ファイル、ソースコードなど）が漏洩するリスクがあります。攻撃者は、この脆弱性を利用して、システムへのさらなるアクセス権を取得し、他のシステムへの攻撃の足がかりにすることも考えられます。類似の脆弱性は、ファイルパスの検証不備によって引き起こされることが多く、ファイルアップロード機能やファイルダウンロード機能を持つアプリケーションで特に注意が必要です。
この脆弱性は2026年2月2日に公開されました。現時点では、公開されているPoCは確認されていませんが、パス・トラバーサル脆弱性は悪用が容易なため、早期の悪用が懸念されます。CISA KEVリストへの登録状況は不明です。NVDデータベースも参照し、最新の情報を確認してください。
SiYuan users running versions prior to 3.5.5 are at risk. This includes individuals and organizations using SiYuan for personal note-taking, team collaboration, or knowledge management. Shared hosting environments where SiYuan is installed are particularly vulnerable, as a compromise of one user's instance could potentially impact others.
• go / server:
find / -name "siyuan/kernel" -type d -print• go / server:
ps aux | grep siyuan• generic web:
Inspect access logs for requests containing unusual path traversal sequences (e.g., ../../../../etc/passwd).
• generic web:
Monitor response headers for unexpected file content types.
disclosure
エクスプロイト状況
EPSS
0.06% (19% パーセンタイル)
CISA SSVC
CVSS ベクトル
公式な修正バージョンへのアップデートが最優先の対策です。3.5.5以降のバージョンにアップデートすることで、この脆弱性は解消されます。アップデートが困難な場合は、ファイル読み込みAPIへのアクセスを制限するWAFルールやプロキシ設定を検討してください。また、ファイルパスの検証を厳格化するなどの設定変更も有効です。ファイルシステムへの不正アクセスを検知するために、アクセスログの監視や侵入検知システムの導入も推奨されます。
Actualice SiYuan a la versión 3.5.5 o posterior. Esta versión corrige la vulnerabilidad de omisión de la validación de acceso a archivos sensibles debido a la distinción entre mayúsculas y minúsculas en los sistemas de archivos.
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-25992は、SiYuan Kernelのファイル読み込みAPIにおけるケース感度バイパスにより発生するパス・トラバーサル脆弱性です。攻撃者はこの脆弱性を悪用して、ファイルシステム内の機密ファイルにアクセスできる可能性があります。
影響を受けるバージョンは特定されていませんが、SiYuan Kernelを使用している場合は、3.5.5以降にアップデートすることを推奨します。
3.5.5以降のバージョンにアップデートすることで、この脆弱性は解消されます。アップデートが困難な場合は、WAFルールやプロキシ設定によるアクセス制限を検討してください。
現時点では、公開されているPoCは確認されていませんが、パス・トラバーサル脆弱性は悪用が容易なため、早期の悪用が懸念されます。
公式のアドバイザリは、SiYuan Kernelの公式ウェブサイトまたはGitHubリポジトリで確認できます。
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。