Siyuan Note
関連 13slug: siyuan-note
このタグの解説はまだありません。
Siyuan Note に関連する脆弱性 17
- 高 8.3 SiYuanの脆弱性、認証済みの閲覧者に認証情報ファイルが読まれるおそれ SiYuanの3.8.9より前の版には、認証済みの閲覧者(Readerの権限)が、認証情報を含む名前のウィジェットファイルを取得できる脆弱性があります。公開に使われているウィジェットでは、APIキーやトークンなどの秘密情報が漏れるおそれがあります。修正版の3.8.9が公開されているので、速やかに更新してください。 CVE-2026-126264
- 高 9.1 解説あり SiYuanのログイン保護を回避される脆弱性、3.8.9で修正 SiYuan 2.1.0以上3.8.9未満で、アクセスコードのログイン画面にあるCAPTCHAを使い回され、総当たりで管理者セッションを得られる脆弱性が公表されました。ネットワークから到達できる環境で使っている組織は、3.8.9へ更新してください。 CVE-2026-126265
- 高 8.7 SiYuanの脆弱性で未認証の訪問者に保護された本文が漏えいするおそれ SiYuanの3.6.0以降3.8.9より前には、文書ごとのパスワードを、getDocの正規表現検索で回避される脆弱性があります。未認証の公開閲覧者でも保護された本文の一部を読めるおそれがあり、CVSSは7.5です。修正版の3.8.9に更新してください。 CVE-2026-126266
- 中 6.1 SiYuan before 3.8.10 SSRF via Skill-Install Download Redirect and DNS Rebinding SiYuan before 3.8.10 contains a server-side request forgery vulnerability in the skill-install download path because fetchBytes performs only a parse-time hostname check instead of using ssrfSafeClient. Attackers can supply a skill URL via the MCP skill install action that redirects or DNS-rebinds t... CVE-2026-126393
- 中 6.0 SiYuan 3.7.0 before 3.8.10 Path Traversal File Write via MCP web_fetch CVE-2026-126776
- 中 6.9 SiYuan before 3.8.9 Nil Pointer Dereference DoS via MCP resources/read CVE-2026-123492
- 中 5.9 SiYuan 3.8.7 through 3.8.8 Path Traversal via GLOBALROOT Alias CVE-2026-118680
- 中 5.9 SiYuan の認証済み利用者がAPIのパス制限を回避し設定ファイルや秘密鍵を公開される SiYuan の Windows 版では、拡張長パス接頭辞（\\?\）を使うことで機密パスの拒否リストを回避できる問題があります。認証済みの利用者がインポート API を悪用すると、API トークンや TLS 秘密鍵を含む設定ファイルを未認証の利用者にも見える形で複製される可能性があります。影響を受けるのは 3.5.4 以降 3.8.7 未満のバージョンで、3.8.7 以降への更新が必要です。 CVE-2026-116171
- 中 6.9 SiYuan before v3.8.7 SQL Injection via History Search op and query CVE-2026-116170
- 中 5.4 SiYuan 2.10.0 before 3.8.7 Stored XSS via KaTeX \href in Math Blocks CVE-2026-116169
- 中 6.9 SiYuan before v3.8.7 Path Traversal Local File Read via MCP Asset Tool CVE-2026-116168
- 中 7.6 SiYuan にXSSの脆弱性、罠リンクから任意のスクリプトを実行されるおそれ SiYuan の /check-auth ページで to パラメータの URI 検証が不十分なため、javascript: 形式の細工したリンクからクロスサイトスクリプティングが起きるおそれがあります。影響を受けるのは 2.9.0 以上 3.8.7 未満のバージョンで、3.8.7 以降に更新してください。 CVE-2026-116167
- 中 7.6 SiYuanで通信が暗号化されず認証情報を盗聴される恐れ SiYuan 3.6.0以降3.8.7未満では、networkServeTLSの設定が反映されず、カーネルのポートで平文のHTTPによるAPI接続が引き続き受け付けられます。同じネットワーク上の攻撃者がログインやセッションCookieを盗聴し、APIセッションを乗っ取るおそれがあります。修正版として3.8.7が公開されているため、早急にアップデートしてください。 CVE-2026-116166
- 中 8.6 SiYuanの脆弱性で遠隔のコンテンツから클립ボード情報が漏えいする恐れ SiYuanのv3.8.4より前のバージョンに、IPCの処理で認可が漏れている脆弱性が見つかりました。遠隔から読み込まれたコンテンツが、ユーザーが貼り付け操作をした際にクリップボードのMathML・Office・WPSのデータを取得できるおそれがあります。修正版はv3.8.4です。v3.8.4以降へ更新してください。 CVE-2026-100640
- 中 8.2 SiYuanの公開機能に認証回避の脆弱性、3.8.4で修正 SiYuanの公開サービスで、セッションCookieが平文のHTTP通信で発行される脆弱性が見つかりました。通信経路上の攻撃者がCookieを盗み再利用すると、アカウントのパスワードを知らなくても認証が必要な公開用のエンドポイントにアクセスできるおそれがあります。影響を受けるのは3.8.4より前のSiYuanで、3.8.4で修正されています。3.8.4以降へ更新してください。 CVE-2026-100635
- 高 9.2 SiYuanの開発版に認可不備の脆弱性、匿名の閲覧者がデータベースの行内容を取得可能 2026年8月13日に公表された、SiYuanの開発版（3.7.4-alpha.2）の認可不備の脆弱性です。公開ページのデータベースIDとキーワードがあれば、匿名の閲覧者でも公開対象外の行の内容を検索して取得できるおそれがあります。修正版はSiYuan 3.7.4-alpha.3で、影響は開発版に限られ、安定版は影響を受けないとされています。開発版を使っている場合は、修正版への更新を優先してください。 CVE-2026-73608
- 中 6.9 SiYuan の脆弱性 SiYuan に 脆弱性 (CVE-2026-72791) が存在。不正な操作・情報露出のリスクがあります。対策: 3.7.4 以上に更新。 CVE-2026-72791