CVE-2026-50551: SiYuan: XSS armazenado em células de assets do Attribute View leva a RCE no cliente Electron

Visão geral

O SiYuan é um sistema de gestão de conhecimento pessoal de código aberto. O aviso descreve uma falha de cross-site scripting (XSS) armazenado no renderizador de células de assets do recurso Attribute View (banco de dados). O registro indica que a falha pode escalar para execução remota de código (RCE) no cliente desktop Electron e que é corrigida na versão 3.7.0.

Impacto

Um XSS armazenado significa que conteúdo controlado por um atacante, salvo na aplicação, pode ser executado no contexto da aplicação quando um usuário visualiza os dados afetados.
O registro afirma que isso pode escalar para RCE no cliente desktop Electron.
O CNA do GitHub atribui pontuação base CVSS 3.1 de 9.9 (crítica). O vetor do registro indica vetor de ataque pela rede, baixa complexidade, privilégios baixos exigidos, sem interação do usuário, escopo alterado e alto impacto na confidencialidade, integridade e disponibilidade.

Produtos e versões afetadas

A descrição indica que o problema afeta o SiYuan anteriores à versão 3.7.0.
A lista estruturada de produtos afetados no registro está vazia, portanto as faixas exatas de versões afetadas e plataformas são desconhecidas além da descrição. Consulte o aviso de segurança do GitHub para detalhes.
A descrição indica que a correção está na versão 3.7.0.

Status de exploração

O CVE não consta no catálogo Known Exploited Vulnerabilities da CISA segundo o registro.
Nenhuma exploração confirmada aparece nas fontes consultadas.
Não há pontuação EPSS disponível no registro.

Correção e mitigação

Atualize o SiYuan, incluindo o cliente desktop Electron, para a versão 3.7.0 ou posterior.
Até a atualização, tenha cautela ao abrir bancos do Attribute View ou importar conteúdo de fontes não confiáveis, já que a falha envolve conteúdo armazenado.
Restrinja o acesso a espaços de trabalho compartilhados do SiYuan a usuários de confiança, sempre que possível.

Orientações de detecção

Revise bancos do Attribute View e células de assets em busca de conteúdo inesperado ou desconhecido, especialmente contribuído por usuários fora do grupo de confiança.
Monitore os endpoints que executam o cliente desktop do SiYuan em busca de processos filhos ou comportamentos incomuns originados da aplicação, que possam indicar execução de código.
Mantenha logs de aplicação e de endpoint disponíveis para apoiar a investigação caso um comprometimento seja suspeitado.

Limitações das informações disponíveis

O registro não inclui listas estruturadas de versões afetadas ou corrigidas, portanto só há as afirmações sobre versões presentes na descrição.
O registro não inclui detalhes técnicos do caminho de código vulnerável, condições de exploração ou status de prova de conceito, e esta análise não os fornece.
Não há dados EPSS, SSVC ou KEV no registro.
A única referência de aviso no registro é o aviso de segurança do GitHub; as páginas do NVD e do CVE.org são listadas como páginas de origem sem detalhes adicionais além do registro.

Perguntas frequentes

Este CVE está sendo explorado ativamente?

O registro não lista este CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Acompanhe fontes oficiais para eventuais mudanças.

Qual versão do SiYuan corrige este problema?

A descrição indica que a vulnerabilidade é corrigida na versão 3.7.0 do SiYuan, e que versões anteriores à 3.7.0 são afetadas.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.