CVE-2026-66012: Kritisk fejl i SiYuan-noteprogram

SiYuan er et open source-program til noter og videndeling, der kan køre som en lokal server og dele noter offentligt via en indbygget “Publish”-funktion. Sårbarheden CVE-2026-66012 sidder i endepunktet POST /mcp, der styrer 31 værktøjer til at læse, skrive, omdøbe og slette filer i hele arbejdsområdet. Endepunktet kontrollerer kun, at der overhovedet er logget ind, men tjekker ikke om brugeren har administratorrettigheder eller kun læseadgang. Er Publish-serveren sat op i anonym tilstand, tildeler systemet automatisk besøgende en gyldig adgangstoken med læserettigheder, som også giver adgang til /mcp. Fejltypen kaldes manglende rettighedskontrol (CWE-862): systemet glemmer at tjekke, om den logget-ind bruger faktisk må udføre handlingen.

Sårbarheden rammer alle installationer af SiYuan i versioner før 3.7.2. Risikoen er størst for organisationer, der har aktiveret Publish-serveren i anonym tilstand (Conf.Publish.Enable=true og Conf.Publish.Auth.Enable=false) for at dele noter offentligt, for eksempel på et fælles netværk, en portal eller internettet. Det gælder typisk mindre teams, konsulenter og videndelingsafdelinger, der bruger SiYuan som fælles notesystem.

En angriber uden brugerkonto kan sende forespørgsler til /mcp og læse filen conf/conf.json, hvor accessAuthCode, api.token og cookieKey ligger i klartekst. Med disse oplysninger kan angriberen skrive og ændre vilkårlige filer i arbejdsområdet og placere et skadeligt plugin i data/plugins/. Pluginet køres med fulde rettigheder til systemets Node.js-miljø, uden isolation, næste gang skrivebordsprogrammet startes, hvilket giver angriberen fuld kontrol over den administrators computer, der åbner SiYuan.

Sårbarheden har den højeste mulige CVSS-score, 10,0 ud af 10. Angrebet kræver ikke login, ingen særlige rettigheder og ingen handling fra en bruger. Det kan udføres over netværket af hvem som helst, der kan nå Publish-serveren. Der er ikke oplysninger om, at sårbarheden aktivt udnyttes i praksis pr. offentliggørelsesdatoen, men kombinationen af fuld fjernudnyttelse uden login og mulighed for kodeudførelse gør den kritisk.

Handlingerne herunder lukker hullet og begrænser skaden, hvis det allerede er udnyttet.

1. Opdatér SiYuan til version 3.7.2 eller nyere på alle installationer, både desktop og server.
2. Slå Publish-serveren fra eller deaktiver anonym tilstand, indtil opdateringen er gennemført.
3. Skift accessAuthCode, api.token og cookieKey i conf/conf.json, hvis Publish har kørt i anonym tilstand.
4. Gennemgå mappen data/plugins/ for plugins, I ikke selv har installeret, og fjern dem.
5. Kontakt Auroa eller en anden sikkerhedsrådgiver, hvis I har haft Publish eksponeret på internettet og er i tvivl om, hvorvidt systemet er kompromitteret.