Podatności SiYuan

SiYuan przed wersją 3.7.3 zawiera podatność na ujawnienie informacji w endpointach getHeadingDeleteTransaction, getHeadingLevelTransaction i getHeadingInsertTransaction, które zwracają DOM renderowanego bloku bez sprawdzania uprawnień dostępu do publikacji. Anonimowi czytelnicy lub tokeny RoleReader w trybie publikacji mogą podać identyfikator bloku nagłówka, aby odczytać pełną renderowaną treść dokumentów, które powinny być ograniczone.

SiYuan przed wersją 3.7.3 nie stosuje filtrów dostępu publikacji do endpointów treści getBacklinkDoc i getBackmentionDoc. Podczas gdy odpowiadające im endpointy listy backlinków filtrują dokumenty wyłączone z publikacji, endpointy treści (chronione tylko przez CheckAuth) tego nie robią. Czytelnik w trybie publikacji – w tym anonimowy, gdy Basic Auth jest wyłączone – może wywołać te endpointy bezpośrednio z identyfikatorem dokumentu wyłączonego z publikacji, aby pobrać jego renderowaną treść DOM oraz sprawdzić, czy dokument odwołuje się do danego bloku (oracle istnienia referencji).

SiYuan przed wersją v3.7.3 zawiera podatność na ujawnienie metadanych w punkcie końcowym /api/block/getBlockInfo. Anonimowi czytelnicy lub tokeny RoleReader mogą pobrać tytuł, notatnik, ścieżkę, ID korzenia i ikonę dokumentów oznaczonych jako wykluczone z publikacji.

SiYuan przed wersją 3.7.3 zawiera podatność na obejście uwierzytelniania w trybie publikacji. Endpointy zwracające treść, takie jak getHeadingChildrenDOM, getHeading*Transaction i getBacklinkDoc, nie wykonują sprawdzenia hasła, mimo że główny endpoint getDoc jest chroniony. Anonimowi atakujący mogą pobrać pełną treść dokumentów chronionych hasłem, uzyskując wewnętrzne identyfikatory bloków z endpointów dostępnych dla czytelników i wywołując niechronione endpointy treści, aby ominąć blokadę hasła.

Podatność w SiYuan przed wersją 3.7.2 nie ucieka wartości atrybutu Individual Attribute List title-img podczas renderowania obrazów okładek Galerii i Kanban, co pozwala na przechowywany cross-site scripting poprzez nieuciekającą interpolację atrybutu style. Atakujący z uprawnieniami edytora mogą wstrzyknąć procedury obsługi onload, które wykonują dowolny kod w rendererze Electron z pełnym dostępem do Node.js, gdy ofiary otworzą dotknięte dokumenty.

Podatność w SiYuan przed wersją 3.7.3 zawiera przechowywane i odbite podatności cross-site scripting w oczyszczaniu SVG, które pozwalają uwierzytelnionym atakującym na wykonanie skryptów poprzez ominięcie oczyszczarki opartej na parserze HTML. Atakujący mogą ukryć znaczniki skryptów w elementach desc, style lub noscript, które parser HTML traktuje jako surowy tekst, ale przeglądarki interpretują jako wykonywalną zawartość SVG, gdy są serwowane jako image/svg+xml, umożliwiając wykonanie skryptów w kontekście aplikacji.

SiYuan przed wersją 3.7.2 zawiera podatność na path traversal w gałęzi /export/temp/ handlera serveExport. Uwierzytelniony atakujący może użyć zakodowanych sekwencji nawigacyjnych, aby odczytać dowolne pliki poza katalogiem TempDir, w tym /etc/passwd, klucze SSH i pliki bazy danych.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 pozwala na wstrzyknięcie kodu JavaScript poprzez niebezpieczne interpolowanie wartości this.path do atrybutu innerHTML. Specjalnie spreparowany link assetu z cudzysłowem może przełamać atrybut src, wstrzyknąć procedurę obsługi zdarzenia i wykonać kod w procesie Electron.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 umożliwia uwierzytelnionemu administratorowi lub użytkownikowi z tokenem API kopiowanie poufnych plików konfiguracyjnych (np. .git-credentials, .netrc, .pgpass) do przestrzeni roboczej i ich eksfiltrację przez API plików. Problem wynika z niedostatecznej filtracji ścieżek źródłowych w funkcji util.IsSensitivePath.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 umożliwia użytkownikowi z rolą Reader w trybie publikacji odczytanie prywatnych ścieżek dokumentów, identyfikatorów notatników, dokumentów i bloków oraz słów kluczowych wyszukiwania i zamiany dla nieopublikowanych dokumentów. Problem wynika z braku filtrowania dostępu publikacyjnego w punkcie końcowym /api/storage/getCriteria.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 umożliwia nieuwierzytelnionemu gościowi wstrzyknięcie zapytania UNION SELECT do endpointu wyszukiwania bloków. Atakujący może odczytać ukryte dokumenty, manipulując wartościami ścieżek w żądaniu POST.

SiYuan przed wersją 3.7.1 zawiera podatność na przechowywany cross-site scripting (XSS) w mechanizmie renderowania HTML przez silnik Lute. Blokada niebezpiecznych schematów JavaScript nie sprawdza atrybutów form action ani SVG xlink:href, co umożliwia wykonanie poleceń systemowych w rendererze Electron.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 umożliwia odczyt plików poza katalogiem snippets. Błąd w obsłudze ścieżek w funkcji serveSnippets pozwala uwierzytelnionemu atakującemu na użycie sekwencji takich jak %2e%2e (..) w żądaniu, co prowadzi do ujawnienia sekretów obszaru roboczego i bazy danych dokumentów.

SiYuan to otwartoźródłowy system zarządzania wiedzą osobistą. W wersjach przed 3.7.0, podatność pozwalała na odczyt dowolnych plików w WorkspaceDir przez nieautoryzowanego atakującego, wykorzystując podwójne kodowanie URL w trasie /assets/*path.

W systemie zarządzania wiedzą SiYuan przed wersją 3.6.2, usługa publikacji ujawnia zakładki z dokumentów chronionych hasłem nieuwierzytelnionym odwiedzającym. W trybie publikacji/tylko do odczytu, filtr FilterBlocksByPublishAccess traktuje kontekst nil jako autoryzowany, pomijając sprawdzenie hasła publikacji i zwracając zakładki z dokumentów oznaczonych jako chronione.

SiYuan w wersjach 3.5.1 i wcześniejszych używa hardkodowanego sekretu kryptograficznego dla sesji, co czyni szyfrowanie sesji nieskutecznym. Ponieważ wrażliwy AccessAuthCode jest przechowywany w ciasteczku sesji, atakujący, który przechwyci zaszyfrowane ciasteczko sesji, może je odszyfrować lokalnie za pomocą publicznego klucza i uzyskać AccessAuthCode w postaci jawnej, a następnie przejąć sesję.

SiYuan w wersjach 0.0.0-20251202123337-6ef83b42c7ce i starszych zawiera funkcję importZipMd podatną na ZipSlip, co pozwala uwierzytelnionemu użytkownikowi nadpisać pliki w systemie. Uwierzytelniony użytkownik z dostępem do funkcji importu notatek może nadpisać dowolny plik, a w niektórych przypadkach eskalować do pełnego wykonania kodu. Poprawka planowana jest w wersji 3.5.0.