SiYuan 在 github.com/siyuan-note/siyuan/kernel 的 /api/asset/upload 接口存在主机任意文件写入漏洞。

攻击者利用此漏洞可以绕过安全机制，将恶意文件上传到 SiYuan 服务器的任何可写位置。这可能导致攻击者执行以下操作：篡改或删除重要数据，植入后门程序以实现持久性访问，或者利用上传的文件执行远程代码。由于 SiYuan 通常用于存储和管理敏感信息，因此该漏洞可能导致严重的隐私泄露和数据安全事件。攻击者可以利用此漏洞获取用户笔记、密码和其他敏感数据，并将其用于进一步的攻击活动。此外，如果 SiYuan 服务器与其他系统集成，攻击者还可以利用此漏洞进行横向移动，攻击更广泛的网络。

Organizations and individuals using SiYuan for knowledge management, particularly those running versions prior to 3.1.16, are at risk. This includes teams relying on SiYuan for internal documentation, research, or collaboration. Shared hosting environments where SiYuan is deployed could be particularly vulnerable, as a compromised instance could potentially impact other tenants.

• go / server:

find /var/log -name "siyuan.log*" -print0 | xargs -0 grep -i "/api/asset/upload"

• generic web:

curl -I <siyuan_url>/api/asset/upload | grep -i 'content-type'

• linux / server:

journalctl -u siyuan -f | grep -i "/api/asset/upload"

1. 2024-12-12Disclosure

   disclosure

1. 已保留2024-12-10
2. 发布日期2024-12-12
3. 修改日期2026-03-03
4. EPSS 更新日期2026-04-02

最有效的缓解措施是立即升级到 SiYuan 3.1.16 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 /api/asset/upload 接口的访问权限，只允许授权用户上传文件。实施严格的文件类型验证，只允许上传安全的文件类型。监控 /api/asset/upload 接口的访问日志，及时发现异常活动。如果使用代理服务器或 Web 应用防火墙 (WAF)，可以配置规则以阻止恶意文件上传请求。升级后，请检查 SiYuan 服务器上的文件系统，确认没有被恶意篡改的文件。