プラットフォーム
go
コンポーネント
github.com/siyuan-note/siyuan/kernel
修正版
3.6.5
0.0.0-20260407035653-2f416e5253f1
CVE-2026-39846は、SiYuanカーネルにおけるクロスサイトスクリプティング（XSS）脆弱性です。この脆弱性は、悪意のあるノートが別のユーザーと同期される際に、リモートコード実行を引き起こす可能性があります。影響を受けるバージョンは、0.0.0-20260407035653-2f416e5253f1より前のバージョンです。2026年4月8日に公開され、0.0.0-20260407035653-2f416e5253f1へのアップデートで修正されました。
この脆弱性を悪用されると、攻撃者は悪意のあるノートをSiYuanワークスペースにインポートし、他のユーザーがノートを同期すると、そのノートを開いた際にJavaScriptコードを実行できます。nodeIntegrationが有効でcontextIsolationが無効になっているため、攻撃者はNode.js APIにアクセスできます。これにより、機密情報の窃取、システム設定の変更、さらにはシステム全体の制御奪取といった深刻な被害が発生する可能性があります。この攻撃は、他のXSS脆弱性と同様に、ユーザーのフィッシング詐欺やマルウェア感染を容易にする可能性があります。
この脆弱性は、2026年4月8日に公開されており、現時点では公的なエクスプロイトコードは確認されていません。しかし、XSS脆弱性は一般的に悪用されやすく、攻撃者による活発なスキャンや攻撃の可能性は否定できません。CISA KEVカタログへの登録状況は不明です。この脆弱性は、SiYuanのユーザーベース全体に影響を与える可能性があります。
Users of SiYuan who utilize note syncing are particularly at risk. This includes teams collaborating on shared workspaces and individuals who regularly import notes from external sources. Legacy configurations with older versions of SiYuan are also highly vulnerable, as they have not received the security patch. Shared hosting environments where multiple users share the same SiYuan instance are also at increased risk.
• windows / supply-chain:
Get-Process -Name SiYuan | Select-Object -ExpandProperty Path• linux / server:
ps aux | grep siyuan• generic web:
curl -I https://your-siyuan-instance.com/ | grep -i 'X-Content-Type-Options: nosniff'disclosure
patch
エクスプロイト状況
EPSS
0.14% (34% パーセンタイル)
CISA SSVC
この脆弱性への主な対策は、SiYuanカーネルを0.0.0-20260407035653-2f416e5253f1にアップデートすることです。アップデートが利用できない場合、ワークスペースのノート同期機能を一時的に無効にするか、信頼できないソースからのノートインポートを避けることでリスクを軽減できます。また、WAF（Web Application Firewall）やプロキシサーバーを使用して、悪意のあるスクリプトの実行をブロックすることも有効です。アップデート後、SiYuanアプリケーションを再起動し、正常に動作することを確認してください。
リモートコード実行の脆弱性を軽減するために、バージョン3.6.4以降にアップデートしてください。このバージョンは、同期されたノートを介した悪意のあるコードのインジェクションを防止するために、テーブルのキャプションの安全でないエスケープの問題を修正しています。
脆弱性分析と重要アラートをメールでお届けします。
CVE-2026-39846は、SiYuanカーネルにおけるクロスサイトスクリプティング（XSS）脆弱性です。悪意のあるノートの同期により、リモートコード実行を引き起こす可能性があります。
SiYuanカーネルのバージョンが0.0.0-20260407035653-2f416e5253f1より前のバージョンを使用している場合、影響を受けます。
SiYuanカーネルを0.0.0-20260407035653-2f416e5253f1にアップデートしてください。
現時点では公的なエクスプロイトコードは確認されていませんが、XSS脆弱性は一般的に悪用されやすいため、攻撃の可能性は否定できません。
SiYuanの公式ウェブサイトまたはGitHubリポジトリで最新のアドバイザリをご確認ください。
CVSS ベクトル
go.mod ファイルをアップロードすると、影響の有無を即座にお知らせします。