Platform
go
Component
github.com/siyuan-note/siyuan/kernel
Opgelost in
3.5.11
3.5.10
CVE-2026-30869 beschrijft een Path Traversal kwetsbaarheid in de SiYuan kernel, specifiek in de /export endpoint. Deze kwetsbaarheid stelt aanvallers in staat om willekeurige bestanden op het systeem te lezen, wat kan leiden tot het lekken van gevoelige informatie. De kwetsbaarheid treft versies van SiYuan kernel vóór 3.5.10. Een upgrade naar versie 3.5.10 is vereist om de kwetsbaarheid te verhelpen.
Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om toegang te krijgen tot gevoelige bestanden op het systeem waarop SiYuan draait. Dit kan omvatten configuratiebestanden, databasebestanden, of andere bestanden die wachtwoorden, API-sleutels of andere gevoelige gegevens bevatten. De impact kan variëren van het lekken van kleine hoeveelheden informatie tot het compromitteren van de gehele server. De mogelijkheid om willekeurige bestanden te lezen, opent de deur naar verdere aanvallen, zoals het verkrijgen van toegang tot de onderliggende infrastructuur of het uitvoeren van code op het systeem. Dit is vergelijkbaar met andere Path Traversal kwetsbaarheden waarbij aanvallers de bestandsstructuur kunnen navigeren om toegang te krijgen tot ongeautoriseerde bronnen.
CVE-2026-30869 is openbaar bekend gemaakt op 2026-03-10. Er is momenteel geen informatie beschikbaar over actieve exploits of campagnes die deze kwetsbaarheid misbruiken. De KEV score is nog niet bepaald. Er zijn geen publieke Proof-of-Concept (POC) exploits bekend, maar de Path Traversal aard van de kwetsbaarheid maakt het waarschijnlijk dat er in de toekomst POC's zullen verschijnen.
Organizations and individuals using SiYuan for note-taking, particularly those hosting their own instances or using self-managed deployments, are at risk. Shared hosting environments where multiple users share the same SiYuan instance are particularly vulnerable, as an attacker could potentially access data belonging to other users.
• linux / server:
find / -name 'siyuan' -type d -exec grep -i '..\s\+' {}/ -print• generic web:
curl -I 'http://your-siyuan-server/export/../../../../etc/passwd' # Check for 200 OK response• wordpress / composer / npm: (Not applicable, as this is a kernel vulnerability) • database (mysql, redis, mongodb, postgresql): (Not applicable) • windows / supply-chain: (Not applicable)
disclosure
Exploit Status
EPSS
0.58% (69% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie voor CVE-2026-30869 is het upgraden van SiYuan kernel naar versie 3.5.10 of hoger. Als een directe upgrade niet mogelijk is, overweeg dan om de toegang tot de /export endpoint te beperken via een Web Application Firewall (WAF) of proxy server. Configureer de WAF om verzoeken met ongebruikelijke bestandspaden te blokkeren. Controleer de configuratie van SiYuan om er zeker van te zijn dat de /export endpoint niet toegankelijk is vanaf het openbare internet. Na de upgrade, bevestig de correcte werking van de applicatie en controleer de logbestanden op verdachte activiteiten.
Werk SiYuan bij naar versie 3.5.10 of hoger. Deze versie corrigeert de path traversal kwetsbaarheid in het /export endpoint.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-30869 is a critical vulnerability in SiYuan Kernel allowing attackers to read arbitrary files via the /export endpoint, potentially exposing sensitive data.
If you are using SiYuan Kernel versions prior to 3.5.10, you are vulnerable to this Path Traversal attack.
Upgrade SiYuan Kernel to version 3.5.10 or later to remediate the vulnerability. Consider WAF rules as a temporary workaround.
While no active exploitation has been confirmed, the vulnerability's ease of exploitation suggests a potential for future attacks.
Refer to the SiYuan project's official security advisories and release notes for details on this vulnerability and the fix.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je go.mod-bestand en we vertellen je direct of je getroffen bent.