SiYuan importSY/importZipMd: travessia de caminho via nome de arquivo multipart permite escrita arbitrária de arquivos

Um atacante pode explorar esta vulnerabilidade enviando arquivos especialmente criados através das rotas /api/import/importSY e /api/import/importZipMd. A falta de sanitização do nome do arquivo no campo multipart permite que o atacante especifique um caminho de arquivo arbitrário. Ao controlar o caminho de destino, o atacante pode sobrescrever arquivos críticos do sistema, como executáveis, ou criar novos arquivos em locais sensíveis. A consequência mais grave é a execução remota de código, permitindo que o atacante assuma o controle do servidor Siyuan. A exploração bem-sucedida pode resultar em comprometimento completo do sistema, roubo de dados confidenciais e interrupção do serviço.

Administrators of Siyuan note-taking applications are at the highest risk. Specifically, deployments where administrative users have unrestricted file upload privileges are particularly vulnerable. Shared hosting environments where multiple users share the same Siyuan instance also face increased risk, as a compromised administrator account could impact all users on the system.

• linux / server:

journalctl -u siyuan -g "importSY" -g "importZipMd"

• generic web:

curl -I 'http://your-siyuan-server/api/import/importSY?file=../../../../etc/passwd' # Check for 200 OK or other unexpected responses

• generic web: Grep access logs for requests containing suspicious filenames like ../../ or ..\ in the file parameter of the /api/import/importSY or /api/import/importZipMd endpoints.

1. 2026-03-16Disclosure

   disclosure

1. Reservado2026-03-13
2. Publicada2026-03-16
3. Modificada2026-03-30
4. EPSS atualizado2026-03-27

A mitigação primária para CVE-2026-32749 é atualizar o Siyuan para a versão 3.6.1 ou superior, que inclui a correção para esta vulnerabilidade. Se a atualização imediata não for possível, considere implementar medidas de segurança adicionais. Restrinja o acesso às rotas /api/import/importSY e /api/import/importZipMd apenas a usuários administrativos confiáveis. Implemente um Web Application Firewall (WAF) com regras para detectar e bloquear tentativas de Path Traversal, procurando por sequências como ../ nos nomes dos arquivos enviados. Monitore os logs do sistema em busca de atividades suspeitas, como a criação de arquivos em locais inesperados ou a modificação de arquivos do sistema.