CVE-2026-73043: Kritisk RCE-fejl i SiYuan skabeloner

SiYuan er et program til notetagning og videnstyring, som mange bruger til at organisere dokumenter og databaser lokalt. CVE-2026-73043 findes i programmets skabelonberegner, en funktion der udfører brugerskrevne Go-skabeloner og viser resultatet direkte i programmet. Fejlen betyder, at ondsindet HTML og JavaScript-kode kan sættes ind i en skabelonberegning og blive kørt i programmets visningsvindue. Fordi vinduet kører med Node-integration aktiveret, en teknisk indstilling der giver adgang til computerens filsystem og systemfunktioner, kan koden i praksis udføre vilkårlige kommandoer på den computer, der åbner databasen.

Sårbarheden rammer alle, der bruger SiYuan desktop-klienten i en version ældre end v3.7.4. Det gælder virksomheder og enkeltpersoner, der bruger programmet til at føre noter, dokumentation eller intern viden, og hvor databaser eller skabeloner deles med kolleger, samarbejdspartnere eller downloades fra internettet.

Hvis en medarbejder åbner en SiYuan-database eller importerer en skabelon, der indeholder den skadelige kode, kan angriberen få fuld kontrol over den computer, hvor programmet køres. Det kan bruges til at stjæle filer, installere yderligere skadelig software eller bevæge sig videre ind i virksomhedens netværk fra den kompromitterede maskine.

CVSS-scoren er 9,0 ud af 10, hvilket er kritisk. Angrebet kræver ikke adgangskode udefra, men det kræver, at offeret har lave rettigheder på systemet i forvejen og selv udfører en handling, typisk at åbne en delt database eller skabelon. Der er ingen tegn på, at fejlen udnyttes aktivt på offentliggørelsesdatoen, men fordi angrebet kan udføres over netværket og giver fuld kontrol over fortrolighed, integritet og driftsstabilitet, bør den behandles med høj prioritet.

Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:

1. Opdatér SiYuan til version 3.7.4 eller nyere på alle computere, hvor programmet er installeret.
2. Undgå at åbne databaser, skabeloner eller notesamlinger, som kommer fra kilder, I ikke selv kontrollerer eller kender, indtil opdateringen er installeret.
3. Informér medarbejdere, der bruger SiYuan, om at være tilbageholdende med at importere delte skabelonfiler fra eksterne afsendere.
4. Gennemgå, hvilke computere der har SiYuan installeret, og bekræft, at alle er opdateret til den sikre version.
5. Kontakt en it-sikkerhedsrådgiver, hvis I har brugt SiYuan til at dele databaser bredt internt eller eksternt, og I er i tvivl om, om skadelige filer allerede er blevet åbnet.