Platform
go
Component
github.com/siyuan-note/siyuan/kernel
Opgelost in
3.6.3
0.0.0-20260329142331-918d1bd9f967
CVE-2026-34585 beschrijft een cross-site scripting (XSS) kwetsbaarheid in de Siyuan Kernel, de kern van de Siyuan notitie-applicatie. Deze kwetsbaarheid stelt aanvallers in staat om via een gemanipuleerd .sy document code te injecteren, wat in de Electron desktop client kan leiden tot remote code execution. De kwetsbaarheid is verholpen in versie 0.0.0-20260329142331-918d1bd9f967.
Een succesvolle exploitatie van deze XSS-kwetsbaarheid kan leiden tot het uitvoeren van willekeurige code in de context van de Siyuan applicatie. In de Electron desktop client, waar de applicatie draait met hogere privileges, kan dit resulteren in remote code execution (RCE). Een aanvaller kan een kwaadaardig .sy document maken, dit als .sy.zip verpakken en vervolgens de gebruiker verleiden dit te importeren. Zodra het document wordt geopend, wordt de geïnjecteerde code uitgevoerd, waardoor de aanvaller mogelijk controle kan krijgen over het systeem. De impact is aanzienlijk, vooral gezien de potentie voor RCE in de desktop omgeving.
Deze kwetsbaarheid is openbaar bekend gemaakt op 2026-04-01. Er zijn momenteel geen publieke proof-of-concept exploits beschikbaar, maar de beschrijving van de kwetsbaarheid suggereert dat het relatief eenvoudig te exploiteren is. De impact van remote code execution maakt dit een potentieel aantrekkelijk doelwit voor aanvallers. Er is geen informatie beschikbaar over actieve campagnes die deze kwetsbaarheid uitbuiten, maar de hoge CVSS-score (8.6) duidt op een aanzienlijk risico.
Users of Siyuan's Electron desktop client are particularly at risk due to the potential for Remote Code Execution. Individuals who frequently import .sy documents from external sources, especially those who share notes or collaborate with others, are also at higher risk. Shared hosting environments where multiple users share the same Siyuan installation are also vulnerable.
• windows / supply-chain: Monitor PowerShell execution for suspicious commands related to file manipulation and import processes. Check Autoruns for unusual entries related to Siyuan.
Get-Process -Name siyuan | Select-Object -ExpandProperty Path• linux / server: Monitor system logs (journalctl) for errors or unusual activity related to Siyuan's import functionality.
journalctl -u siyuan -f | grep -i error• generic web: Examine access and error logs for requests related to importing .sy.zip files. Check for unusual characters or patterns in the request parameters.
• database (mysql, redis, mongodb, postgresql): N/A - This vulnerability does not directly impact databases.
disclosure
patch
Exploit Status
EPSS
0.07% (21% percentiel)
CISA SSVC
CVSS-vector
De primaire mitigatie is het upgraden naar versie 0.0.0-20260329142331-918d1bd9f967 of hoger. Indien een directe upgrade niet mogelijk is, kan het tijdelijk beperken van de import van .sy.zip bestanden vanuit onbetrouwbare bronnen een extra beveiligingslaag bieden. Controleer de bron van alle geïmporteerde bestanden zorgvuldig. Er zijn geen specifieke WAF-regels of configuratiewijzigingen bekend om deze kwetsbaarheid te mitigeren, behalve het toepassen van de patch. Na de upgrade, controleer de Siyuan applicatie op onverwachte gedragingen of onbekende processen om te bevestigen dat de kwetsbaarheid is verholpen.
Actualiseer SiYuan naar versie 3.6.2 of hoger. Deze versie bevat een correctie voor de stored XSS kwetsbaarheid die willekeurige commando-uitvoering mogelijk maakt. De update kan worden uitgevoerd via het geïntegreerde update systeem in de applicatie of door de laatste versie te downloaden van de officiële website.
Kwetsbaarheidsanalyses en kritieke waarschuwingen direct in uw inbox.
CVE-2026-34585 is a stored Cross-Site Scripting (XSS) vulnerability in Siyuan Kernel that allows attackers to inject malicious JavaScript through crafted .sy documents.
You are affected if you are using Siyuan Kernel versions prior to 0.0.0-20260329142331-918d1bd9f967, especially if you use the Electron desktop client.
Upgrade to version 0.0.0-20260329142331-918d1bd9f967 or later. Restrict import of untrusted .sy.zip files.
There is currently no evidence of active exploitation, but the potential for RCE makes it a likely target.
Refer to the official Siyuan project website and GitHub repository for the latest security advisories and updates.
Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.
Upload je go.mod-bestand en we vertellen je direct of je getroffen bent.