SiYuan importSY/importZipMd: 通过 multipart 文件名中的路径遍历实现任意文件写入

该漏洞允许攻击者通过精心构造的multipart文件名，绕过文件导入过程中的路径验证，将恶意文件写入到 Siyuan Kernel 服务器上的任意位置。攻击者可以利用此漏洞覆盖关键配置文件、执行恶意脚本，甚至完全控制服务器。由于 Siyuan Kernel 通常被用于知识管理和笔记记录，攻击者可能获取敏感信息，例如用户笔记、密码、API 密钥等。如果 Siyuan Kernel 与其他系统集成，攻击者还可以利用此漏洞进行横向移动，进一步扩大攻击范围。

Administrators of Siyuan note-taking applications are at the highest risk. Specifically, deployments where administrative users have unrestricted file upload privileges are particularly vulnerable. Shared hosting environments where multiple users share the same Siyuan instance also face increased risk, as a compromised administrator account could impact all users on the system.

• linux / server:

journalctl -u siyuan -g "importSY" -g "importZipMd"

• generic web:

curl -I 'http://your-siyuan-server/api/import/importSY?file=../../../../etc/passwd' # Check for 200 OK or other unexpected responses

• generic web: Grep access logs for requests containing suspicious filenames like ../../ or ..\ in the file parameter of the /api/import/importSY or /api/import/importZipMd endpoints.

1. 2026-03-16Disclosure

   disclosure

1. 已保留2026-03-13
2. 发布日期2026-03-16
3. 修改日期2026-03-30
4. EPSS 更新日期2026-03-27

最有效的缓解措施是立即升级到 Siyuan Kernel 3.6.1 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制用户上传文件的类型，只允许安全的文件格式。其次，对用户上传的文件名进行严格的验证和过滤，防止包含恶意路径字符。此外，可以配置 Web 应用防火墙 (WAF) 或代理服务器，拦截包含可疑路径的文件上传请求。最后，定期审查 Siyuan Kernel 的配置，确保其安全性。