SiYuan importSY/importZipMd: pad traversal via multipart filename maakt willekeurig bestand schrijven mogelijk

Deze Path Traversal kwetsbaarheid in Siyuan kernel maakt het mogelijk voor een geauthenticeerde administrator om bestanden naar willekeurige locaties op het systeem te schrijven. Dit wordt bereikt door het uploaden van een archief via de /api/import/importSY of /api/import/importZipMd endpoints, waarbij de bestandsnaam in het multipart formulier niet wordt gevalideerd. Door de bestandsnaam te manipuleren, kan een aanvaller paden buiten de tijdelijke directory specificeren, waardoor het mogelijk wordt om kritieke systeembestanden te overschrijven. Een succesvolle exploitatie kan leiden tot volledige systeemcompromittering, inclusief het uitvoeren van willekeurige code met de privileges van de Siyuan-proces.

Administrators of Siyuan note-taking applications are at the highest risk. Specifically, deployments where administrative users have unrestricted file upload privileges are particularly vulnerable. Shared hosting environments where multiple users share the same Siyuan instance also face increased risk, as a compromised administrator account could impact all users on the system.

• linux / server:

journalctl -u siyuan -g "importSY" -g "importZipMd"

• generic web:

curl -I 'http://your-siyuan-server/api/import/importSY?file=../../../../etc/passwd' # Check for 200 OK or other unexpected responses

• generic web: Grep access logs for requests containing suspicious filenames like ../../ or ..\ in the file parameter of the /api/import/importSY or /api/import/importZipMd endpoints.

1. 2026-03-16Disclosure

   disclosure

1. Gereserveerd2026-03-13
2. Gepubliceerd2026-03-16
3. Gewijzigd2026-03-30
4. EPSS bijgewerkt2026-03-27

De primaire mitigatie voor CVE-2026-32749 is het upgraden van Siyuan kernel naar versie 3.6.1 of hoger. Indien een directe upgrade niet mogelijk is, kan een tijdelijke workaround bestaan uit het beperken van de schrijfrechten op de tijdelijke directory, waardoor de impact van een succesvolle exploitatie wordt verminderd. Het implementeren van een Web Application Firewall (WAF) met regels die verdachte bestandsnaammanipulatie detecteren en blokkeren, kan ook helpen. Monitor Siyuan logs op ongebruikelijke bestandstoegangsactiviteit en implementeer een Sigma/YARA-regel om pogingen tot bestandsschrijven buiten de verwachte directory te detecteren.