Siyuan heeft een ongeauthenticeerde willekeurige bestandslezing via Path Traversal

Een succesvolle exploitatie van deze Path Traversal kwetsbaarheid stelt een aanvaller in staat om willekeurige bestanden te lezen die toegankelijk zijn voor de serverproces. Dit omvat potentieel gevoelige configuratiebestanden, broncode of andere data die op de server is opgeslagen. Omdat de endpoint niet geverifieerd is, kan de exploitatie worden uitgevoerd zonder geldige inloggegevens. De impact kan aanzienlijk zijn, afhankelijk van de gevoeligheid van de bestanden die toegankelijk zijn, en kan leiden tot datalekken of verdere compromittering van het systeem. Dit is vergelijkbaar met kwetsbaarheden waarbij ongeautoriseerde toegang tot bestanden mogelijk is door middel van manipulatie van paden.

Organizations and individuals using Siyuan for note-taking, particularly those running self-hosted instances or deployments with less stringent security controls, are at risk. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as an attacker could potentially access data belonging to other users.

• linux / server:

journalctl -u siyuan | grep -i "path traversal"

• generic web:

curl -I http://<siyuan_server>/appearance/../../../../etc/passwd

• generic web:

grep -r "/appearance/" /var/log/apache2/access.log

1. 2026-03-17Discovery

   Discovery

2. 2026-03-20Disclosure

   Disclosure

3. 2026-03-20Patch

   Patch

1. Gereserveerd2026-03-20
2. Gepubliceerd2026-03-20
3. Gewijzigd2026-03-25
4. EPSS bijgewerkt2026-03-28

De primaire mitigatie voor CVE-2026-33476 is het upgraden van de Siyuan kernel naar versie 3.6.2 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan tijdelijke maatregelen zoals het beperken van de toegang tot de /appearance/filepath endpoint via een Web Application Firewall (WAF) of proxy server. Configureer de WAF om alle requests naar dit endpoint te blokkeren, tenzij ze afkomstig zijn van vertrouwde bronnen. Controleer de configuratie van Siyuan om er zeker van te zijn dat de directory waarin de applicatie is geïnstalleerd, niet toegankelijk is voor de openbare internet. Na de upgrade, bevestig de correcte werking door te proberen een bestand buiten de toegestane directory te benaderen via de /appearance/filepath endpoint; dit zou een foutmelding moeten opleveren.