Siyuan Note
Related 13slug: siyuan-note
No explanation yet for this tag.
Vulnerabilities related to Siyuan Note 17
- High 8.3 SiYuanの脆弱性、認証済みの閲覧者に認証情報ファイルが読まれるおそれ SiYuanの3.8.9より前の版には、認証済みの閲覧者(Readerの権限)が、認証情報を含む名前のウィジェットファイルを取得できる脆弱性があります。公開に使われているウィジェットでは、APIキーやトークンなどの秘密情報が漏れるおそれがあります。修正版の3.8.9が公開されているので、速やかに更新してください。 CVE-2026-126264
- High 9.1 SiYuanのログイン保護を回避される脆弱性、3.8.9で修正 SiYuan 2.1.0以上3.8.9未満で、アクセスコードのログイン画面にあるCAPTCHAを使い回され、総当たりで管理者セッションを得られる脆弱性が公表されました。ネットワークから到達できる環境で使っている組織は、3.8.9へ更新してください。 CVE-2026-126265
- High 8.7 SiYuanの脆弱性で未認証の訪問者に保護された本文が漏えいするおそれ SiYuanの3.6.0以降3.8.9より前には、文書ごとのパスワードを、getDocの正規表現検索で回避される脆弱性があります。未認証の公開閲覧者でも保護された本文の一部を読めるおそれがあり、CVSSは7.5です。修正版の3.8.9に更新してください。 CVE-2026-126266
- Medium 6.1 SiYuan before 3.8.10 SSRF via Skill-Install Download Redirect and DNS Rebinding SiYuan before 3.8.10 contains a server-side request forgery vulnerability in the skill-install download path because fetchBytes performs only a parse-time hostname check instead of using ssrfSafeClient. Attackers can supply a skill URL via the MCP skill install action that redirects or DNS-rebinds t... CVE-2026-126393
- Medium 6.0 SiYuan 3.7.0 before 3.8.10 Path Traversal File Write via MCP web_fetch CVE-2026-126776
- Medium 6.9 SiYuan before 3.8.9 Nil Pointer Dereference DoS via MCP resources/read CVE-2026-123492
- Medium 5.9 SiYuan 3.8.7 through 3.8.8 Path Traversal via GLOBALROOT Alias CVE-2026-118680
- Medium 5.9 SiYuan の認証済み利用者がAPIのパス制限を回避し設定ファイルや秘密鍵を公開される SiYuan の Windows 版では、拡張長パス接頭辞（\\?\）を使うことで機密パスの拒否リストを回避できる問題があります。認証済みの利用者がインポート API を悪用すると、API トークンや TLS 秘密鍵を含む設定ファイルを未認証の利用者にも見える形で複製される可能性があります。影響を受けるのは 3.5.4 以降 3.8.7 未満のバージョンで、3.8.7 以降への更新が必要です。 CVE-2026-116171
- Medium 6.9 SiYuan before v3.8.7 SQL Injection via History Search op and query CVE-2026-116170
- Medium 5.4 SiYuan 2.10.0 before 3.8.7 Stored XSS via KaTeX \href in Math Blocks CVE-2026-116169
- Medium 6.9 SiYuan before v3.8.7 Path Traversal Local File Read via MCP Asset Tool CVE-2026-116168
- Medium 7.6 SiYuan にXSSの脆弱性、罠リンクから任意のスクリプトを実行されるおそれ SiYuan の /check-auth ページで to パラメータの URI 検証が不十分なため、javascript: 形式の細工したリンクからクロスサイトスクリプティングが起きるおそれがあります。影響を受けるのは 2.9.0 以上 3.8.7 未満のバージョンで、3.8.7 以降に更新してください。 CVE-2026-116167
- Medium 7.6 SiYuanで通信が暗号化されず認証情報を盗聴される恐れ SiYuan 3.6.0以降3.8.7未満では、networkServeTLSの設定が反映されず、カーネルのポートで平文のHTTPによるAPI接続が引き続き受け付けられます。同じネットワーク上の攻撃者がログインやセッションCookieを盗聴し、APIセッションを乗っ取るおそれがあります。修正版として3.8.7が公開されているため、早急にアップデートしてください。 CVE-2026-116166
- Medium 8.6 Information Disclosure in SiYuan Vulnerability in SiYuan (CVE-2026-100640). Risk of unauthorized operations or information disclosure. CVE-2026-100640
- Medium 8.2 Vulnerability in SiYuan CVE-2026-100635
- High 9.2 Vulnerability in github.com/siyuan-note/siyuan/kernel (GHSA-75xh-mp4f-f2rf) CVE-2026-73608
- Medium 6.9 Vulnerability in SiYuan CVE-2026-72791