SiYuan: RCE (Remote Code Execution) de Origem Cruzada via Política CORS Permissiva e Injeção de Snippet JavaScript

A vulnerabilidade CVE-2026-34449 no SiYuan permite a execução remota de código (RCE) em qualquer desktop que execute o software. Isso se deve a uma configuração de Compartilhamento de Recursos entre Origens (CORS) excessivamente permissiva, permitindo que um site malicioso injete código JavaScript através da API do SiYuan. A configuração Access-Control-Allow-Origin: * juntamente com Access-Control-Allow-Private-Network: true facilita essa injeção. Uma vez injetado, o código é executado no contexto Node.js do Electron dentro do SiYuan, concedendo ao atacante acesso total ao sistema operacional. Não é necessária nenhuma interação do usuário além de visitar o site malicioso enquanto o SiYuan está em execução.

Users of SiYuan who are running versions prior to 3.6.2 are at significant risk. This includes individuals using SiYuan for personal note-taking, as well as organizations that rely on SiYuan for collaborative knowledge management. Users who frequently visit untrusted websites or have a history of clicking on suspicious links are particularly vulnerable.

• linux / server: Monitor SiYuan's API endpoints for unusual JavaScript requests using journalctl -f -u siyuan. Look for POST requests containing suspicious JavaScript code. • generic web: Use curl to test SiYuan's API endpoints with crafted requests containing JavaScript payloads. Examine the response headers for any signs of code execution. • windows / supply-chain: Monitor PowerShell execution logs (Get-WinEvent -LogName Application -Filter "[System[Provider[@Name='PowerShell']]]" | Where-Object {$_.Message -like 'siyuan'}) • database (generic): Examine SiYuan's configuration files for any unusual CORS settings or API keys that could be exploited.

1. 2026-03-31Disclosure

   disclosure

2. 2026-03-31Patch

   patch

1. Reservado2026-03-27
2. Publicada2026-03-31
3. Modificada2026-04-06
4. EPSS atualizado2026-04-08

A solução recomendada é atualizar o SiYuan para a versão 3.6.2 ou posterior. Esta versão corrige a configuração de CORS restritiva, eliminando a possibilidade de injeção de código malicioso. Se a atualização não for possível imediatamente, é recomendável desativar a API do SiYuan se ela não estiver em uso. Também é crucial ter cuidado ao visitar sites desconhecidos ou suspeitos, especialmente enquanto o SiYuan está em execução. Monitorar a atividade de rede do SiYuan também pode ajudar a detectar tentativas de exploração.