CVE-2026-73052: Kritisk fejl i SiYuan noteprogram
SiYuan før version 3.7.4 har en kritisk sårbarhed, der kan give angribere kontrol over brugerens computer. Opdatér til 3.7.4.
Hvad er det?
SiYuan er et open source-program til noter og videndeling, som mange bruger som personlig eller fælles vidensbase. I versioner før 3.7.4 gemmer programmet navne på databasefelter uden HTML-escaping, som er en teknisk metode til at forhindre, at tekst bliver læst som programkode. Navnene indsættes direkte i menuen for sortering via en funktion kaldet innerHTML. En angriber kan omdøbe et databasefelt til at indeholde skadelig kode, som kører, når en bruger åbner sortér-menuen. Fordi SiYuans skrivebordsprogram kører med Node-integration slået til, en Electron-funktion der giver webkode adgang til computerens system, kan koden gå videre fra at køre i programmet til at få adgang til selve computeren.
Hvem rammer det?
Sårbarheden rammer alle, der bruger SiYuan-skrivebordsklienten i version ældre end 3.7.4. Det gælder især virksomheder, der deler databaser eller arbejdsområder i SiYuan mellem flere medarbejdere eller med eksterne samarbejdspartnere, da angrebet kræver adgang til en delt database for at kunne indsætte skadelig kode.
Hvad kan ske?
En angriber, der har adgang til et delt SiYuan-arbejdsområde, kan omdøbe et databasefelt med skadelig kode. Når en kollega åbner sortér-menuen på den database, kører koden automatisk i skrivebordsklienten. Fordi Node-integration er slået til, kan koden i praksis få adgang til filer, installere skadelig software eller skabe en indgang til virksomhedens øvrige netværk fra den ramte computer.
Hvor alvorligt er det?
CVSS-scoren er 9,0 ud af 10, hvilket er kritisk. Angrebet kræver, at angriberen allerede har en vis adgang til systemet, lav rettighed, og at offeret selv åbner sortér-menuen, brugerhandling. Til gengæld er konsekvensen fuld kompromittering af fortrolighed, integritet og tilgængelighed, fordi angrebet kan brede sig ud over selve programmet. Der er ikke oplysninger om, at sårbarheden aktivt bliver udnyttet på offentliggørelsestidspunktet.
Hvad gør jeg nu?
Sådan lukker I hullet og begrænser risikoen, mens I opdaterer:
- Opdatér SiYuan til version 3.7.4 eller nyere på alle computere, hvor programmet er installeret.
- Indtil opdatering er gennemført, bør I undgå at åbne databaser eller arbejdsområder modtaget fra ukendte eller eksterne kilder.
- Gennemgå, hvem der har adgang til jeres delte SiYuan-arbejdsområder, og fjern adgang for personer, der ikke længere har brug for den.
- Undersøg, om Node-integration kan slås fra i jeres opsætning, hvis I ikke har brug for den funktionalitet.
- Informer medarbejdere, der bruger SiYuan, om ikke at åbne sortér-menuen på databaser fra ukendte kilder, før opdatering er gennemført.
- Kontakt en it-sikkerhedsrådgiver, hvis I har SiYuan integreret i forretningskritiske arbejdsgange, eller hvis I er i tvivl om, hvorvidt jeres opsætning er sårbar.
Opdatér inden for få dage
Vi anbefaler, at I opdaterer SiYuan til version 3.7.4 eller nyere hurtigst muligt, især hvis I bruger delte arbejdsområder eller databaser i programmet. Det er kun forsvarligt at vente, hvis SiYuan udelukkende bruges lokalt af en enkelt person uden deling af databaser med andre. I alle andre tilfælde bør opdateringen prioriteres, fordi konsekvensen ved udnyttelse er alvorlig.
Tidslinje
Konkrete eksempler
Delt vidensbase i en mindre virksomhed
En dansk konsulentvirksomhed bruger SiYuan til en fælles vidensbase, som flere medarbejdere og en ekstern samarbejdspartner har adgang til. Samarbejdspartneren, hvis konto er blevet kompromitteret, omdøber et databasefelt med skadelig kode. Da en projektleder senere åbner sortér-menuen for at organisere data, kører koden på projektlederens computer og får adgang til systemet, fordi Node-integration er aktiveret.
Ofte stillede spørgsmål
Er vi ramt af denne sårbarhed?
I er ramt, hvis I bruger SiYuan-skrivebordsklienten i en version ældre end 3.7.4. Tjek versionsnummeret under programmets indstillinger eller om-menu.
Hvordan tjekker vi, om vores version er sårbar?
Åbn SiYuan, find versionsoplysninger under indstillinger eller hjælp-menuen, og sammenlign med 3.7.4. Er versionen lavere, er programmet sårbart.
Kan vi vente til weekenden med at opdatere?
Det afhænger af, hvordan I bruger SiYuan. Deler I databaser med kolleger eller eksterne, bør I opdatere så hurtigt som muligt. Bruges programmet kun lokalt af en enkelt person, kan opdateringen vente kort tid.
Hvad er Node-integration, og hvorfor gør det sårbarheden værre?
Node-integration er en funktion i Electron-baserede skrivebordsprogrammer, der giver webkode i programmet adgang til computerens filsystem og systemfunktioner. Uden den ville skadelig kode typisk være begrænset til programmets eget vindue, men med den kan koden få adgang til hele computeren.
Skal vi anmelde hændelsen til myndighederne?
Der skal kun anmeldes, hvis sårbarheden faktisk er blevet udnyttet, og det har medført et brud på persondatasikkerheden. Er I blot potentielt sårbare og opdaterer i tide, er der ikke pligt til anmeldelse.
Hvor finder vi opdateringen til SiYuan?
Opdateringen hentes fra SiYuans officielle hjemmeside eller via programmets indbyggede opdateringsfunktion, hvis den er aktiveret.
CVSS-detaljer
CVSS:3.1/AV:N/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
CWE-svaghedstyper
Original NVD-beskrivelse (engelsk)
SiYuan before v3.7.4 stores attribute-view field names without HTML escaping and interpolates them directly into option elements via innerHTML in the sort menu. Attackers can inject markup by renaming a database field to execute arbitrary JavaScript when users open the sort menu, with Node integration enabled in the desktop client enabling code execution.
Referencer & kilder
Eksterne kilder
Brug for hjælp med jeres sikkerhed?
Vi hjælper SMV’er med at omsætte trusler som denne til konkrete handlingsplaner.