CVE-2026-44670: SiYuan: XSS armazenado em nomes de Attribute View leva a RCE no Electron
Uma falha de XSS armazenado nos nomes de Attribute View do SiYuan pode injetar HTML nos clientes conectados. Segundo o aviso, como a janela principal do Electron roda com integração Node habilitada e isolamento de contexto desabilitado, essa injeção pode levar à execução de código. O registro indica que o problema foi corrigido na versão 3.7.0.
Visão geral
O SiYuan é um sistema open-source de gestão de conhecimento pessoal. Segundo o GitHub Security Advisory GHSA-2h64-c999-c9r6, o kernel armazena nomes de Attribute View (bancos de dados) sem escape de HTML, e esses nomes são depois incorporados ao HTML e enviados a todos os clientes via WebSocket. Vários caminhos de renderização no cliente usam o valor sem escape.
Impacto
O aviso descreve injeção de HTML armazenada no renderer. Como a janela principal do Electron está configurada com integração Node habilitada, isolamento de contexto desabilitado e segurança web desabilitada, o aviso afirma que isso pode se tornar execução de código no contexto Node.js. O vetor CVSS v4.0 do registro atribui impacto alto à confidencialidade, integridade e disponibilidade, com pontuação base de 9.4 (crítica). O CWE é o CWE-79, Cross-site Scripting.
Produtos e versões afetadas
- Produto no registro: Siyuan-note Siyuan
- Faixa afetada no registro: versões anteriores à 3.7.0
- O campo de correções do registro está vazio; a versão corrigida 3.7.0 consta na descrição do aviso.
Status de exploração
O catálogo KEV não lista este CVE no registro consultado, portanto não há exploração ativa confirmada. O campo SSVC do registro indica exploração como 'poc' e automatizável como 'no'. Esses rótulos não confirmam exploração no mundo real, e nenhuma exploração confirmada aparece nas fontes consultadas.
Correção e mitigação
- Atualize o SiYuan para a versão 3.7.0 ou superior, conforme indicado no aviso.
- Até a atualização, limite quem pode criar ou editar nomes de Attribute View, especialmente em workspaces compartilhados ou colaborativos.
- Trate conteúdo de colaboradores não confiáveis ou de workspaces importados como potencialmente hostil até a implantação da versão corrigida.
- Acompanhe a entrada na NVD para eventuais atualizações do registro.
Orientações de detecção
- Faça o inventário de todos os clientes e instalações desktop do SiYuan para identificar versões abaixo da 3.7.0.
- Revise nomes de Attribute View em busca de marcação incomum ou conteúdo com aparência de script, especialmente em workspaces compartilhados.
- Monitore os endpoints com SiYuan em busca de processos filhos inesperados ou atividade de rede incomum originada pela aplicação.
Limitações das informações disponíveis
- O registro não lista as configurações exatas de Electron, sistema operacional ou implantação afetadas na prática.
- O registro não confirma se existe código de prova de conceito público além do rótulo SSVC.
- O campo de correções do registro está vazio, então os detalhes de correção dependem da descrição do aviso.
- Os dados EPSS do registro são uma estimativa de probabilidade e não confirmam exploração.
Perguntas frequentes
Esta vulnerabilidade do SiYuan está sendo explorada ativamente?
O registro indica que este CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. O rótulo SSVC 'poc' não confirma, por si só, exploração no mundo real.
Qual versão corrige o CVE-2026-44670?
A descrição do aviso indica que o problema foi corrigido na versão 3.7.0 do SiYuan. As versões anteriores à 3.7.0 constam como afetadas no registro.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.