Plataforma
go
Componente
github.com/siyuan-note/siyuan/kernel
Corrigido em
3.5.5
0.0.0-20260118092521-f8f4b517077b
A vulnerabilidade CVE-2026-23851 representa um acesso arbitrário a arquivos no kernel do SiYuan, uma aplicação de anotações. Essa falha permite que um atacante leia arquivos que não deveriam estar acessíveis, comprometendo a confidencialidade dos dados. Versões do SiYuan anteriores a 0.0.0-20260118092521-f8f4b517077b são afetadas. A atualização para a versão corrigida é a solução recomendada.
Um atacante explorando esta vulnerabilidade pode ler arquivos arbitrários no sistema onde o SiYuan está instalado. Isso pode incluir arquivos de configuração, dados sensíveis de usuários, ou até mesmo código-fonte da aplicação. O impacto potencial varia dependendo da localização dos arquivos acessíveis e da sensibilidade das informações contidas neles. Em cenários mais graves, um atacante pode obter acesso a credenciais de outros sistemas ou comprometer a integridade da aplicação. A exploração bem-sucedida pode levar à divulgação de informações confidenciais e à perda de controle sobre o sistema.
A vulnerabilidade foi divulgada em 2026-02-03. Não há informações disponíveis sobre exploração ativa ou a inclusão em catálogos como o KEV. A probabilidade de exploração é considerada baixa devido à falta de publicações de Proof-of-Concept (PoC) e à recente divulgação.
Organizations and individuals using SiYuan for note-taking, particularly those storing sensitive information within the application, are at risk. Users running older, unpatched versions of SiYuan are especially vulnerable. Shared hosting environments where multiple users share the same SiYuan instance are also at increased risk.
• linux / server: Monitor SiYuan process logs for unusual file access attempts. Use auditd to track file access events and create rules to alert on unauthorized reads.
auditctl -w /path/to/siyuan/data -p wa -k siyuan_file_access• go: Examine the SiYuan source code for the file copy function and related areas for potential vulnerabilities. Use static analysis tools to identify potential security flaws. • generic web: Monitor web server access logs for requests containing unusual file paths or attempts to access sensitive files via the SiYuan application.
disclosure
Status do Exploit
EPSS
0.04% (percentil 12%)
CISA SSVC
A mitigação primária para CVE-2026-23851 é atualizar o SiYuan para a versão 0.0.0-20260118092521-f8f4b517077b ou superior. Se a atualização imediata não for possível, considere restringir o acesso ao kernel do SiYuan, implementando controles de acesso rigorosos. Monitore os logs do sistema em busca de atividades suspeitas, como tentativas de acesso a arquivos não autorizados. Embora não haja regras WAF específicas conhecidas, a implementação de regras gerais de proteção contra leitura de arquivos pode ajudar a mitigar o risco.
Actualice SiYuan a la versión 3.5.4 o posterior. Esta versión corrige la vulnerabilidad de lectura arbitraria de archivos al validar correctamente las rutas de los archivos copiados.
Análise de vulnerabilidades e alertas críticos diretamente no seu e-mail.
CVE-2026-23851 is a HIGH severity vulnerability in the SiYuan kernel allowing attackers to read arbitrary files. It affects versions before 0.0.0-20260118092521-f8f4b517077b.
You are affected if you are using SiYuan kernel versions prior to 0.0.0-20260118092521-f8f4b517077b. Check your version and upgrade immediately.
Upgrade SiYuan to version 0.0.0-20260118092521-f8f4b517077b or later. If upgrading is not immediately possible, restrict file system access for the SiYuan process.
There are currently no reports of active exploitation, but the vulnerability's nature suggests a potential for rapid exploitation if a proof-of-concept is developed.
Refer to the SiYuan project's official website and GitHub repository for the latest security advisories and updates.
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Envie seu arquivo go.mod e descubra na hora se você está afetado.