CVE-2026-73044: Kritisk XSS-fejl i SiYuan noteprogram
SiYuan før v3.7.4 har en kritisk XSS-fejl (CVE-2026-73044), der kan give kode-udførelse. Opdatér til v3.7.4 eller nyere.
Hvad er det?
SiYuan er et open source-program til noter og videndeling, bygget på Electron-teknologien, som kombinerer et browser-vindue med adgang til computerens filsystem. CVE-2026-73044 er en sårbarhed, hvor programmet ikke renser eller validerer værdier for kolonnebredde i tabeller. En angriber kan via API-funktionen setAttrViewColWidth indsætte skadelig kode i et style-attribut, som bryder ud af formateringen og tilføjer event-handlere, kode der aktiveres ved brugerhandling, på alle celler i en tabel. Fordi SiYuan kører med Node-integration aktiveret, giver dette mulighed for at udføre vilkårlig kode direkte på brugerens computer, ikke blot i en afgrænset browser-sandkasse. Koden gemmes permanent i dokumentet, kaldet stored cross-site scripting, og aktiveres hver gang dokumentet åbnes.
Hvem rammer det?
Sårbarheden rammer alle, der bruger SiYuan i versioner ældre end 3.7.4, til dokumentation, videndeling eller noter. Det gælder både enkeltbrugere og virksomheder, hvor flere medarbejdere eller samarbejdspartnere deler arbejdsområder og redigerer i de samme dokumenter og databaser.
Hvad kan ske?
En kollega eller samarbejdspartner, der åbner et delt dokument med en manipuleret tabel, kan uden at vide det få kørt skadelig kode på sin computer. Fordi SiYuan har adgang til filsystemet, kan koden bruges til at stjæle filer, installere yderligere skadelig software eller sprede sig til andre dokumenter i arbejdsområdet. For en dansk virksomhed, der bruger SiYuan til intern dokumentation eller kundedata, kan det betyde læk af fortrolige oplysninger eller kompromitterede medarbejder-computere.
Hvor alvorligt er det?
CVSS-scoren er 9,0 ud af 10, kritisk. Angrebet kræver login med lave rettigheder og en handling fra en bruger, typisk at åbne eller redigere et dokument med den manipulerede tabel. Sårbarheden kan udnyttes over netværk uden adgangskode fra angriberens side, men brugerinteraktion er nødvendig for at aktivere koden. Der er ikke offentligt kendte tilfælde af udnyttelse på offentliggørelsesdatoen, men da teknikken er beskrevet i detaljer, kan risikoen for misbrug stige.
Hvad gør jeg nu?
Det vigtigste er at opdatere SiYuan til version 3.7.4 eller nyere, som lukker hullet.
- Opdatér SiYuan til v3.7.4 eller nyere på alle computere, hvor programmet er installeret.
- Gennemgå delte arbejdsområder for uventede eller ukendte ændringer i tabeller og dokumenter.
- Informér medarbejdere om ikke at åbne dokumenter fra ukendte eller utroværdige kilder, før opdateringen er gennemført.
- Tjek logfiler for uventet netværkstrafik eller filsystemaktivitet fra SiYuan-processen efter åbning af delte dokumenter.
- Kontakt en it-sikkerhedsrådgiver, hvis I har delt dokumenter med eksterne parter og er i tvivl om, hvorvidt data er kompromitteret.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer SiYuan til version 3.7.4 eller nyere hurtigst muligt, især hvis programmet bruges til deling af dokumenter mellem flere medarbejdere. Det er i orden at vente til næste planlagte opdateringsvindue, hvis SiYuan kun bruges lokalt af en enkelt bruger uden deling af dokumenter. Bruger I derimod delte arbejdsområder, bør opdateringen prioriteres inden for de kommende dage.
Tidslinje
Konkrete eksempler
Delt videnbase i en dansk konsulentvirksomhed
En konsulentvirksomhed bruger SiYuan til at dele projektdokumentation mellem medarbejdere og eksterne samarbejdspartnere. En medarbejder modtager et delt dokument med en tabel, der ser almindelig ud, men indeholder skjult skadelig kode i kolonnebredden. Når medarbejderen åbner tabellen, køres koden på computeren, og angriberen får adgang til lokale filer og eventuelt videre adgang til virksomhedens netværk.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
Hvis jeres virksomhed bruger SiYuan i en version ældre end 3.7.4, er I potentielt sårbare. Tjek programversionen under menuen Hjælp eller Om i SiYuan.
Hvordan tjekker vi, om vi bruger en sårbar version?
Åbn SiYuan og find versionsnummeret under indstillinger eller om-siden. Er versionen lavere end 3.7.4, skal I opdatere.
Kan vi vente til weekenden med at opdatere?
Bruger I SiYuan kun lokalt uden deling af dokumenter, kan opdateringen vente til næste planlagte vindue. Deler I dokumenter med kolleger eller eksterne, bør I opdatere inden for de kommende dage.
Kræver angrebet, at vi klikker på noget?
Ja. En bruger skal åbne eller interagere med et dokument, der indeholder den manipulerede tabel, for at koden aktiveres.
Skal vi anmelde dette til Datatilsynet?
Kun hvis I kan konstatere, at persondata er blevet kompromitteret som følge af sårbarheden. Vurdér det konkret ud fra jeres brug af SiYuan og gennemgå logfiler for tegn på misbrug.
Er sårbarheden udnyttet i praksis?
Der er ikke offentligt kendte tilfælde af udnyttelse på offentliggørelsesdatoen. Det ændrer dog ikke ved, at opdateringen bør gennemføres, da teknikken er offentligt beskrevet.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
SiYuan versions before v3.7.4 fail to validate or escape table column width values, allowing stored cross-site scripting injection into style attributes. Attackers can inject malicious payloads through the setAttrViewColWidth API that break out of style attributes and inject event handlers on every table cell, executing arbitrary code in the Electron renderer with Node integration enabled.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.