CVE-2026-73042: Kritisk sårbarhed i SiYuan

SiYuan er et open source-program til notetagning og videndeling, bygget på Electron, som er et rammeværk der pakker webteknologi ind som en almindelig desktop-applikation. CVE-2026-73042 er en fejl i CWE-79-kategorien, kaldet stored cross-site scripting: her gemmes skadelig kode permanent i systemet og køres, når en anden bruger åbner en bestemt menu. Fejlen ligger i, hvordan SiYuan viser metadata for databaser, altså navne og beskrivelser på felter. Programmet renser ikke denne tekst korrekt, før den vises i menuer for grupper, visninger eller feltredigering. Fordi Electron i denne opsætning ikke er tilstrækkeligt afskærmet fra Node.js, kan koden gå videre end selve programvinduet og få adgang til indbyggede systemfunktioner, som normalt kun styresystemet må bruge.

Sårbarheden rammer alle, der kører SiYuan i en version ældre end 3.7.4. Det gælder især teams og virksomheder, der deler databaser i SiYuan med flere bidragydere, for eksempel til intern dokumentation, projektstyring eller videndeling med eksterne samarbejdspartnere. Jo flere personer med redigeringsret til feltnavne og beskrivelser, jo større er risikoen for, at ondsindet kode bliver indsat og senere åbnet af en kollega.

En bruger med redigeringsret til en delt database kan indsætte skadelig kode i et feltnavn eller en feltbeskrivelse. Når en kollega efterfølgende åbner gruppe-, visnings- eller feltredigeringsmenuen for det pågældende felt, kører koden automatisk. Fordi Electron-opsætningen i SiYuan ikke isolerer webindhold fra systemfunktioner, kan koden læse og skrive filer, installere yderligere programmer eller sende data ud af virksomhedens netværk. I praksis kan en enkelt kompromitteret note føre til fuld kontrol over den ramte medarbejders computer.

CVSS-scoren er 9,0 ud af 10, hvilket er kritisk. Angrebet kræver, at angriberen har lav privilegie, altså mindst redigeringsret til en delt database, og at offeret selv foretager en handling ved at åbne den forberedte menu. Der skal ikke bruges login til selve systemet udefra, og der er ikke behov for administratorrettigheder. Der er ikke oplysninger om aktiv udnyttelse på offentliggørelsestidspunktet, men den lave angrebskompleksitet og den potentielle vej til fuld systemadgang gør fejlen alvorlig, især i miljøer hvor databaser deles bredt.

Følg disse trin for at lukke sårbarheden og begrænse skaden, hvis den allerede er udnyttet.

1. Opdatér SiYuan til version 3.7.4 eller nyere på alle enheder, hvor programmet er installeret.
2. Gennemgå delte databaser for mistænkelige felt-navne eller beskrivelser, der indeholder scriptkode eller usædvanlige tegn.
3. Begræns redigeringsrettigheder til delte databaser, så kun betroede medarbejdere kan ændre feltnavne og beskrivelser.
4. Informér medarbejdere om ikke at åbne gruppe- eller feltmenuer i delte noter fra ukendte eller eksterne kilder, før opdateringen er gennemført.
5. Kontrollér, om der er tegn på uautoriseret filadgang eller mistænkelig aktivitet på enheder, der har kørt en ældre version af SiYuan sammen med delte databaser.
6. Kontakt os, hvis I har svært ved at fastslå omfanget af eksponeringen, eller hvis I finder tegn på, at sårbarheden er blevet udnyttet.