CVE-2026-73041: Kritisk sårbarhed i SiYuan

SiYuan er et open source-program til noter og videndeling, der kører som en skrivebordsapplikation bygget på Electron, en teknologi der giver webkode adgang til computerens filsystem. CVE-2026-73041 opstår, fordi programmets endpoint setFileAnnotation, som gemmer annoteringer (kommentarer og noter tilknyttet en fil), ikke renser det, brugeren skriver. Det betyder, at ondsindet kode kan gemmes i en annotering og senere køre som ægte programkode, når en anden bruger åbner den annoterede PDF. Fejltypen kaldes cross-site scripting (XSS), men her får koden fuld adgang til Node.js, altså til selve systemet, ikke bare til browservinduet.

Alle, der bruger SiYuan i version ældre end 3.7.4, uanset om programmet kører på Windows, macOS, Linux eller som selvhostet server. Det gælder virksomheder, der bruger SiYuan til intern dokumentation, videndeling eller projektnoter, særligt hvis flere medarbejdere eller eksterne samarbejdspartnere kan tilføje annoteringer til delte PDF-filer.

En angriber, der har adgang til at tilføje en annotering, for eksempel via en delt note eller et samarbejdsrum, kan indlejre skjult kode i annoteringen. Når en kollega åbner den tilhørende PDF i SiYuan, køres koden automatisk med fuld adgang til filsystemet. I praksis kan det bruges til at læse eller ændre filer, installere yderligere skadelig software eller sende data ud af virksomhedens netværk, uden at brugeren ser andet end en almindelig PDF.

CVSS-scoren er 9,0 ud af 10, hvilket er kritisk. Angrebet kræver ikke fysisk adgang og kan udføres over netværket, men det kræver, at angriberen har lav-privilegeret adgang til at oprette en annotering, og at et offer selv åbner den forberedte PDF-fil. Der er ikke krav om at gætte adgangskoder eller omgå login ud over den adgang, angriberen allerede har. Konsekvensen rammer alle tre områder hårdt: fortrolighed, integritet og tilgængelighed af data er alle i høj risiko. Der er ikke oplysninger om, at sårbarheden er udnyttet i praksis på offentliggørelsestidspunktet.

Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:

1. Opdatér SiYuan til version 3.7.4 eller nyere på alle enheder og servere, hvor programmet er installeret. Det lukker sårbarheden.
2. Gennemgå, hvem der i dag kan oprette eller redigere annoteringer i jeres SiYuan-opsætning, og fjern adgang for konti, der ikke har brug for det.
3. Informer medarbejdere om ikke at åbne annoterede PDF-filer fra eksterne eller ukendte afsendere, før opdateringen er gennemført på alle enheder.
4. Gennemgå serverlogs for usædvanlig aktivitet omkring setFileAnnotation-endpointet, hvis I kører en selvhostet SiYuan-server.
5. Kontakt en sikkerhedsrådgiver, hvis I ikke selv kan verificere, at alle installationer er opdateret, eller hvis I mistænker, at en annoteret fil allerede er åbnet.