SiYuan: 属性ビューギャラリー/カンバンカバーレンダリングにおけるStored XSSにより、デスクトップクライアントで任意のコマンド実行が可能

このXSS脆弱性を悪用されると、攻撃者はSiyuanアプリケーションを実行しているユーザーのブラウザ上で任意のJavaScriptコードを実行できます。これにより、機密情報の窃取、セッションハイジャック、さらにはOSコマンドの実行といった深刻な被害が発生する可能性があります。特に、ElectronデスクトップクライアントではnodeIntegrationが有効でcontextIsolationが無効になっているため、JavaScriptコードはOSコマンドを実行できる可能性があります。攻撃者は、悪意のあるURLをAttribute Viewに配置し、被害者がGalleryまたはKanbanビューを開いた際にXSSを誘発することで、これらの攻撃を実行できます。

Users of Siyuan who utilize the Gallery or Kanban views with “Cover From -> Asset Field” enabled are at significant risk. This includes users who rely on Siyuan for sensitive note-taking or collaboration, as the vulnerability could lead to data theft or system compromise. Organizations using Siyuan in shared hosting environments are particularly vulnerable, as a compromised account could potentially impact other users on the same server.

• windows / supply-chain:

Get-WinEvent -LogName Application -Filter "EventID=1000 -Message contains 'siyuan'"

• linux / server:

journalctl -u siyuan | grep -i 'error' -i 'warning'

• wordpress / composer / npm: N/A • database (mysql, redis, mongodb, postgresql): N/A • generic web: N/A

1. 2026-03-31Disclosure

   disclosure

1. 予約済み2026-03-27
2. 公開日2026-03-31
3. 更新日2026-04-06
4. EPSS 更新日2026-04-08

この脆弱性への対応策として、Siyuan Kernelをバージョン3.6.2にアップデートすることを推奨します。アップデートが利用できない場合、一時的な回避策として、Attribute ViewのmAsseフィールドへのURL入力制限を設ける、またはGalleryとKanbanビューにおける“Cover From -> Asset Field”機能を無効にすることを検討してください。また、WAFやプロキシサーバーを導入し、悪意のあるURLパターンを検出・ブロックすることも有効です。アップデート後、アプリケーションを再起動し、GalleryまたはKanbanビューでAttribute ViewからURLを開くことで、脆弱性が修正されていることを確認してください。