SiYuan: ZipSlip -> 任意文件覆盖 -> github.com/siyuan-note/siyuan/kernel 中 RCE

该 RCE 漏洞允许攻击者在受影响的 SiYuan 系统上执行任意代码。攻击者可以通过构造恶意的 ZIP 归档文件，利用 ZipSlip 缺陷将文件覆盖到系统中的敏感位置，例如可执行文件或配置文件。成功利用该漏洞可能导致攻击者完全控制受影响的系统，窃取敏感数据、安装恶意软件或进行其他恶意活动。由于 SiYuan 通常用于知识管理和笔记记录，因此该漏洞可能导致个人信息泄露和商业机密被盗。该漏洞的潜在影响范围取决于 SiYuan 的部署环境和权限配置。

Organizations and individuals using SiYuan for note-taking, knowledge management, or any application where sensitive data is stored are at risk. This includes users who rely on SiYuan for collaborative work or data sharing, as a compromised instance could expose sensitive information to unauthorized parties. Users with older, unpatched SiYuan installations are particularly vulnerable.

• linux / server:

find /opt/siyuan/ -type f -name '*.zip' -print0 | xargs -0 grep -i '\\..' # Check for double backslashes in ZIP files

• go / supply-chain: Inspect SiYuan's Go dependencies for known vulnerabilities using go mod tidy and go vet. • generic web: Monitor web server access logs for requests containing ZIP files with unusual or deeply nested directory structures. • linux / server:

journalctl -u siyuan -g "zip extraction" # Look for errors related to zip extraction

1. 2025-12-15Disclosure

   disclosure

2. 2025-12-15Patch

   patch

1. 已保留2025-12-08
2. 发布日期2025-12-15
3. 修改日期2026-03-03
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 SiYuan 内核升级到 3.5.0 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：限制 SiYuan 能够访问的文件系统区域，以减少潜在的文件覆盖目标。实施严格的文件输入验证，以防止恶意 ZIP 归档文件被上传。使用 Web 应用防火墙 (WAF) 或代理服务器来检测和阻止包含恶意 ZIP 文件的请求。在系统上启用文件完整性监控，以便在文件被意外修改时发出警报。升级后，请验证 SiYuan 的功能是否正常，并检查系统日志中是否存在异常活动。