SiYuanの開発版に認可不備の脆弱性、匿名の閲覧者がデータベースの行内容を取得可能
概要
2026年8月13日に公表された、SiYuanの開発版（3.7.4-alpha.2）の認可不備の脆弱性です。公開ページのデータベースIDとキーワードがあれば、匿名の閲覧者でも公開対象外の行の内容を検索して取得できるおそれがあります。修正版はSiYuan 3.7.4-alpha.3で、影響は開発版に限られ、安定版は影響を受けないとされています。開発版を使っている場合は、修正版への更新を優先してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
github.com/siyuan-note/siyuan/kernel という製品で、GHSA-75xh-mp4f-f2rf という番号がついた弱点 (脆弱性) が見つかりました。
機密情報が外部に流出する可能性があります。重要度は CVSS スコア 8.6/10 です。
対策: github.com/siyuan-note/siyuan/kernel を 3.7.4 以上に更新してください。
心配なら、システム担当者や製品の公式サイトで「github.com/siyuan-note/siyuan/kernel GHSA-75xh-mp4f-f2rf」を検索してください。
GHSA-75xh-mp4f-f2rf (github.com/siyuan-note/siyuan/kernel) — CWE-862 / CVSS v3 8.6
攻撃ベクター: ネットワーク経由 (リモート攻撃可) / 認証不要 / 被害者操作不要
修正バージョン: 3.7.4 (即時適用推奨)
対応方針: 1) SBOMで影響バージョン横断確認, 2) ステージング検証→本番更新, 3) WAF/プロキシで該当エンドポイントを監視, 4) ログでIOC調査。
参考: 当ページの『参照URL』の GHSA / vendor advisory / patched release を参照。
github.com/siyuan-note/siyuan/kernel に 脆弱性 (CWE-862) があります。
github.com/siyuan-note/siyuan/kernel の影響バージョンはベンダーのアドバイザリで確認してください。
重要度: 重要 (CVSS 8.6/10)。機密情報が外部に流出する可能性があります。
3.7.4 に更新してください。
修正版が未提供時は、影響機能の無効化・WAFルール・ネットワークACLでの遮断を検討。
Webサーバ・プロキシ・WAFログで該当CVEのIOCに合致する不審リクエストを検索。SBOM/依存ファイルで影響バージョンを横断確認。
対応アクション
SOC/SREチームが順番に実行すべき具体的なステップとコマンド例
-
1
影響範囲の特定identify
grep -r 'github.com/siyuan-note/siyuan/kernel' . | grep -v node_modulesリポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で
github.com/siyuan-note/siyuan/kernelを grep し、稼働しているサービス・バージョンを把握する。 -
2
パッチ適用patch
Upgrade github.com/siyuan-note/siyuan/kernel to 3.7.4ステージング環境で 3.7.4 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。
-
3
事後検証verify
Confirm patched version is live in productionパッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| gogithub.com/siyuan-note/siyuan/kernel |
0.0.0-20260726161145-9b8e8956f997 以上 0.0.0-20260812083335-251596fc0de2 未満→ 0.0.0-20260812083335-251596fc0de2 |
0.0.0-20260812083335-251596fc0de2 |
| siyuan-notesiyuan |
3.7.4-alpha.2 以上 3.7.4-alpha.3 未満→ 3.7.4-alpha.3 |
3.7.4-alpha.3 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SiYuan's development branch (endpoint introduced by commit 9b8e8956f, not present in v3.7.3 or master, patched in v3.7.4-alpha.3) contains a missing-authorization vulnerability in the /api/av/getAttributeViewSearchTarget endpoint. The route is registered with CheckAuth only and performs no authorization checks (no CheckReadonly, no publish-access or encrypted-notebook gating). Given a database identifier taken from a published page and a keyword, an anonymous reader can query the endpoint to retrieve matching database row content, including rows that publish filters (FilterAttributeViewByPublishAccess) would otherwise withhold. No released stable version is affected.
出典: GitHub Security Advisories (Global) NVD GitHub Advisory
参照URL
- advisory github.com
- advisory nvd.nist.gov
- advisory vulncheck.com
- advisory github.com
- package github.com
- web github.com
- web github.com
- web github.com