CVE-2026-73053: Kritisk fejl i noteprogrammet SiYuan

SiYuan er et open source-program til noter og videndeling, bygget på Electron, som er en teknik, der pakker en webside ind som et almindeligt skrivebordsprogram. Fejlen ligger i funktionen unicode2Emoji, der omsætter tekst til emoji-ikoner på dokumenter. Funktionen renser ikke koden ordentligt, når den håndterer såkaldte codepoints, som er talkoder for tegn og symboler. Det betyder, at et dokumentikon kan indeholde skjult programkode i stedet for blot et symbol. Fejlen er en type cross-site scripting (XSS), hvor angriberens kode kører i programmet, i stedet for kun den tekst, den var beregnet til. Fordi SiYuan har Node integration slået til, som giver den viste side adgang til computerens filer og processer, kan koden gå videre fra at vise noget uskadeligt til at udføre vilkårlige kommandoer på maskinen.

Det rammer virksomheder og enkeltpersoner, der bruger SiYuan til noter, videndeling eller intern dokumentation, i versioner ældre end 3.7.4. Både desktop-installationer og delte arbejdsområder, hvor flere brugere åbner hinandens dokumenter, er berørt. Programmet er open source og bruges typisk af udviklere, konsulenter og små teams, der administrerer deres egen viden lokalt.

En angriber opretter et dokument med et manipuleret ikon og deler det, for eksempel via en fælles mappe, e-mail eller et delt arbejdsområde. Når en medarbejder åbner dokumentet i SiYuan, udføres koden automatisk med adgang til filer og processer på computeren. I praksis kan det betyde installation af skadelig software, udtrækning af data fra virksomhedens noter, eller at angriberen får et fodfæste på medarbejderens maskine til videre angreb i netværket.

CVSS-scoren er 9,0 ud af 10, hvilket er kritisk. Angrebet kan udføres over netværket og kræver ikke avanceret teknik, men angriberen skal have et lavt privilegie i systemet, og offeret skal selv åbne det pågældende dokument. Der er altså krav om en brugerhandling, men konsekvensen er fuld kompromittering af fortrolighed, integritet og tilgængelighed på det system, hvor dokumentet åbnes. Der er ingen offentlige oplysninger om, at fejlen aktivt udnyttes, men det tekniske indhold er beskrevet detaljeret, hvilket gør det muligt for andre at bygge et angreb ud fra det.

Gør følgende, i denne rækkefølge:

1. Opdatér SiYuan til version 3.7.4 eller nyere på alle installationer, både på medarbejdernes computere og på eventuelle servere.
2. Gennemgå, om der er delte arbejdsområder eller dokumenter, som er kommet fra eksterne parter, og som ikke er blevet gennemgået siden fejlen blev kendt.
3. Informér medarbejdere, der bruger SiYuan, om ikke at åbne dokumenter fra ukendte eller uventede afsendere, indtil opdateringen er installeret.
4. Tjek om Node integration kan slås fra for dokumentvisning i jeres opsætning, hvis I ikke kan opdatere med det samme.
5. Kontakt os hos Auroa, hvis I har mange installationer at holde styr på, eller hvis I har mistanke om, at et manipuleret dokument allerede er blevet åbnet.