CVE-2026-73050: Kritisk XSS-sårbarhed i SiYuan

SiYuan er et open source-værktøj til noter og videndeling, hvor brugere kan bygge databaser direkte i deres arbejdsområde. CVE-2026-73050 er en fejl i farvefeltet på valgmuligheder i disse databaser. Systemet renser ikke input korrekt, så en angriber kan indsætte kode med anførselstegn, der udløser JavaScript, når andre åbner databasen. Det kaldes stored cross-site scripting (XSS): ondsindet kode gemmes på serveren og køres automatisk i browseren hos alle, der senere ser den ramte visning. Fejlen findes otte steder i koden, hvor feltet vises uden beskyttelse.

Sårbarheden rammer alle, der bruger SiYuan i version før 3.7.4, uanset om det er en lokal installation, en selvhostet server eller et delt arbejdsområde med flere brugere. Det gælder særligt danske virksomheder, der bruger SiYuan som intern videnbase, hvor flere medarbejdere har adgang til at oprette eller redigere databaser med valgfelter (attribute-view select options). Jo flere brugere, der deler samme arbejdsområde, jo større er risikoen, fordi en enkelt lavtrivilegeret bruger kan ramme kolleger med højere rettigheder.

Hvis en angriber får adgang til at oprette eller redigere et valgfelt i en database, kan vedkommende indsætte skadelig kode i farvefeltet. Når en anden bruger, for eksempel en administrator, åbner databasen, køres koden automatisk i deres browser. Det kan bruges til at stjæle sessionscookies eller adgangstoken, ændre eller slette data, og i værste fald overtage administratorens konto i SiYuan. For en dansk virksomhed betyder det, at fortrolige noter, projektdata eller adgangsoplysninger kan blive kompromitteret uden at nogen bemærker det med det samme.

CVSS-scoren er 9,0 af 10, hvilket er kritisk. Angrebet kræver netværksadgang, men lav kompleksitet, hvilket betyder, at det er nemt at udføre teknisk. Angriberen skal have lave rettigheder i systemet, altså en almindelig brugerkonto, og offeret skal foretage en handling, nemlig at åbne den ramte database. Fordi sårbarheden kan påvirke komponenter uden for selve databasen (scope changed), kan konsekvensen sprede sig til andre dele af arbejdsområdet. Der er ikke oplysninger om, at fejlen er udnyttet i praksis, men der findes ingen kendt løsning uden om opdateringen.

Sådan lukker I hullet og begrænser skaden:

1. Opdatér SiYuan til version 3.7.4 eller nyere. Det retter fejlen i farvefeltet og lukker de otte usikrede visningssteder.
2. Gennemgå jeres eksisterende databaser for mistænkelige valgfelter, især farvefelter med usædvanlige tegn som anførselstegn.
3. Begræns, hvem der kan oprette eller redigere databaser og valgfelter, indtil opdateringen er gennemført.
4. Tjek adgangslogs for usædvanlig aktivitet, hvis I har brugt en sårbar version i en periode.
5. Skift adgangstoken og adgangskoder for administratorkonti, hvis I mistænker misbrug.
6. Kontakt en sikkerhedsrådgiver, hvis I har et delt arbejdsområde med mange brugere og ikke selv kan vurdere omfanget.