SiYuan Desktop: Stored XSS em conteúdo importado .sy.zip leva à execução arbitrária de comandos

A exploração bem-sucedida desta vulnerabilidade permite a um atacante executar scripts maliciosos no contexto do usuário. No cliente Electron, isso significa que o atacante pode executar código arbitrário no sistema do usuário, potencialmente roubando dados confidenciais, instalando malware ou assumindo o controle do sistema. O ataque envolve a criação de um arquivo .sy.zip contendo um documento SiYuan com atributos maliciosos, que são então importados pela vítima. A injeção de código ocorre devido à falta de escaping adequado dos atributos no lado do servidor, permitindo que o código malicioso escape do seu contexto HTML original e execute um manipulador de eventos. A severidade é alta devido ao potencial de execução remota de código no cliente Electron.

Users of Siyuan's Electron desktop client are particularly at risk due to the potential for Remote Code Execution. Individuals who frequently import .sy documents from external sources, especially those who share notes or collaborate with others, are also at higher risk. Shared hosting environments where multiple users share the same Siyuan installation are also vulnerable.

• windows / supply-chain: Monitor PowerShell execution for suspicious commands related to file manipulation and import processes. Check Autoruns for unusual entries related to Siyuan.

Get-Process -Name siyuan | Select-Object -ExpandProperty Path

• linux / server: Monitor system logs (journalctl) for errors or unusual activity related to Siyuan's import functionality.

journalctl -u siyuan -f | grep -i error

• generic web: Examine access and error logs for requests related to importing .sy.zip files. Check for unusual characters or patterns in the request parameters. • database (mysql, redis, mongodb, postgresql): N/A - This vulnerability does not directly impact databases.

1. 2026-04-01Disclosure

   disclosure

2. 2026-03-29Patch

   patch

1. Reservado2026-03-30
2. Publicada2026-04-01
3. Modificada2026-04-06
4. EPSS atualizado2026-04-08

A mitigação primária é atualizar o SiYuan para a versão 0.0.0-20260329142331-918d1bd9f967 ou superior, que corrige a vulnerabilidade. Se a atualização imediata não for possível, considere desabilitar temporariamente a funcionalidade de importação de arquivos .sy.zip até que a atualização possa ser aplicada. Monitore os logs do SiYuan em busca de atividades suspeitas, como tentativas de importação de arquivos com nomes incomuns ou tamanhos inesperados. Implementar uma política de segurança que restrinja a importação de arquivos de fontes não confiáveis também pode ajudar a reduzir o risco. Após a atualização, verifique se a importação de arquivos .sy.zip funciona corretamente e se não há novos erros ou comportamentos inesperados.