Siyuan存在未经身份验证的任意文件读取漏洞，通过路径遍历实现

此漏洞允许未经身份验证的攻击者通过构造恶意的 /appearance/*filepath 请求，利用路径遍历漏洞读取 Siyuan 服务器进程可访问的任意文件。攻击者可能能够获取敏感配置信息、用户数据，甚至可能执行代码（如果服务器进程以高权限运行）。由于该漏洞无需身份验证，攻击者可以轻松地利用它，造成广泛的影响。攻击者可以利用此漏洞获取服务器上的敏感信息，例如数据库凭据、API 密钥等，从而进一步攻击系统或窃取数据。如果服务器运行在公共网络上，攻击者可以通过互联网远程利用此漏洞。

Organizations and individuals using Siyuan for note-taking, particularly those running self-hosted instances or deployments with less stringent security controls, are at risk. Shared hosting environments where multiple users share the same server instance are particularly vulnerable, as an attacker could potentially access data belonging to other users.

• linux / server:

journalctl -u siyuan | grep -i "path traversal"

• generic web:

curl -I http://<siyuan_server>/appearance/../../../../etc/passwd

• generic web:

grep -r "/appearance/" /var/log/apache2/access.log

1. 2026-03-17Discovery

   Discovery

2. 2026-03-20Disclosure

   Disclosure

3. 2026-03-20Patch

   Patch

1. 已保留2026-03-20
2. 发布日期2026-03-20
3. 修改日期2026-03-25
4. EPSS 更新日期2026-03-28

最有效的缓解措施是立即升级到 Siyuan Kernel 3.6.2 或更高版本。如果无法立即升级，可以考虑以下临时缓解措施：首先，限制对 /appearance/* 目录的访问，只允许授权用户访问。其次，实施严格的文件访问控制，确保服务器进程只能访问其需要的文件。第三，监控服务器日志，查找可疑的路径遍历尝试。可以使用 Web 应用防火墙 (WAF) 或反向代理来过滤恶意的请求。如果使用云服务提供商，请检查其安全配置，确保已启用适当的保护措施。升级后，请验证文件访问权限是否已正确配置，并检查服务器日志以确认漏洞已修复。