SiYuan: 認証バイパスにより検索API経由で任意のSQL実行が可能

このSQLインジェクション脆弱性は、認証済みユーザーがデータベースに対して任意のSQLコマンドを実行できるため、非常に深刻な影響をもたらします。攻撃者は、SELECT文を使用して機密情報を窃取したり、DELETE文を使用してデータを削除したり、UPDATE文を使用してデータを改ざんしたり、DROP TABLE文を使用してデータベースのテーブルを削除したりすることが可能です。特に、SiYuan Noteはノートやドキュメントを保存するためにデータベースを使用しているため、攻撃者は機密性の高い情報を漏洩させたり、ノートの内容を改ざんしたりする可能性があります。この脆弱性は、Log4Shellのような広範囲に影響を及ぼす脆弱性と同様に、組織全体に甚大な被害をもたらす可能性があります。

Organizations and individuals using SiYuan Note, particularly those with sensitive data stored within the application, are at risk. Shared hosting environments where multiple users share a single SiYuan Note instance are especially vulnerable, as a compromised user account could potentially impact the entire environment. Users relying on legacy configurations or outdated versions of SiYuan Note are also at increased risk.

• linux / server: Monitor SiYuan Note application logs for unusual SQL queries, particularly those involving the /api/search/fullTextSearchBlock endpoint. Use journalctl -u siyuan to filter for relevant log entries.

journalctl -u siyuan | grep '/api/search/fullTextSearchBlock'

• database (mysql, redis, mongodb, postgresql): If SiYuan Note uses a database accessible from the server, monitor for suspicious SQL queries. For example, using mysql:

mysql -u <user> -p -e "SHOW PROCESSLIST;"

• generic web: Monitor web server access logs for requests to /api/search/fullTextSearchBlock with unusual parameters. Use grep to search for suspicious patterns.

grep '/api/search/fullTextSearchBlock' /var/log/apache2/access.log

1. 2026-03-13Discovery

   discovery

2. 2026-03-16Disclosure

   disclosure

1. 予約済み2026-03-13
2. 公開日2026-03-16
3. 更新日2026-03-30
4. EPSS 更新日2026-03-27

この脆弱性への対応策として、まずSiYuan Noteをバージョン3.6.1にアップデートすることを強く推奨します。アップデートが利用できない場合、一時的な回避策として、/api/search/fullTextSearchBlockエンドポイントへのアクセスを制限するWAF（Web Application Firewall）ルールを実装することを検討してください。また、データベースへのアクセス権限を最小限に抑え、不要な権限を持つユーザーアカウントを削除することも有効です。さらに、データベースの監査ログを有効にし、異常なSQLクエリの実行を監視することで、攻撃の早期発見に役立てることができます。アップデート後、データベースの整合性を確認し、不正なデータ変更がないか確認してください。