CVE-2026-54067: SiYuan: XSS em snippet CSS que leva a execução de código no renderer do Electron

Visão geral

O SiYuan é um sistema de gerenciamento pessoal de conhecimento de código aberto. Segundo o aviso, versões anteriores à 3.7.0 permitem que o conteúdo de um snippet CSS que inclui uma tag de fechamento de estilo saia do seu contêiner quando o renderer o insere na página, de modo que um script pode rodar no renderer da aplicação. Veja o aviso no GitHub.

Impacto

Execução de script no contexto do renderer do SiYuan.
O aviso indica que, em builds desktop com Electron, o renderer roda com integração com Node habilitada, e que isso pode encadear para execução de código no sistema hospedeiro.
Snippets sincronizados pelo repositório do workspace podem propagar o conteúdo para outros dispositivos que puxarem o workspace, segundo o aviso.
O aviso afirma que a falha contorna a separação entre as configurações de snippets CSS e JavaScript, de modo que o conteúdo pode executar mesmo com snippets JavaScript desativados.
O registro atribui pontuação 9.9 (crítica) pelo CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade.

Produtos e versões afetadas

Produto: SiYuan (siyuan-note/siyuan).
Afetado: versões anteriores à 3.7.0, conforme a descrição.
O registro não fornece faixas de versões afetadas em formato estruturado.

Status de exploração

O registro indica que este CVE não consta no catálogo KEV da CISA. Não há confirmação de exploração ativa ou de exploração in the wild nas fontes consultadas. O registro não inclui detalhes públicos de exploração.

Correção e mitigação

Atualize o SiYuan para a versão 3.7.0 ou posterior, identificada na descrição como a versão corrigida.
Enquanto a atualização não for concluída, restrinja a permissão de escrita nos repositórios de workspaces sincronizados apenas a usuários confiáveis.
Revise workspaces compartilhados e seus snippets CSS em busca de marcação inesperada antes de usá-los, e desative a sincronização de snippets onde ela não for necessária.
Mantenha os recursos de snippets CSS e JavaScript sob revisão em ambientes onde usuários lidam com conteúdo não confiável.

Orientações de detecção

Revise os repositórios de workspaces em busca de alterações recentes em snippets CSS que contenham marcação inesperada ou conteúdo relacionado a scripts.
Observe processos filhos incomuns iniciados pelo aplicativo desktop do SiYuan, como indicador de alto nível de comprometimento do host.
Confirme a versão instalada em todos os dispositivos que sincronizam o workspace.

Limitações das informações disponíveis

O registro não tem dados estruturados de versões afetadas ou corrigidas, então a versão corrigida vem apenas do texto da descrição.
O registro não inclui verificação técnica independente da cadeia de exploração; ela é apresentada conforme descrita no aviso.
Os valores de EPSS e SSVC estão ausentes, então a probabilidade de exploração é desconhecida.
O registro não informa se existem outras versões de correção além da 3.7.0 ou se há backports disponíveis.

Perguntas frequentes

Quais versões do SiYuan são afetadas?

A descrição indica que versões anteriores à 3.7.0 são afetadas. O registro não traz uma lista estruturada das faixas afetadas.

Há registro de exploração ativa dessa vulnerabilidade?

O registro indica que este CVE não consta no catálogo KEV da CISA, e não há confirmação de exploração ativa nas fontes consultadas.

O que os administradores devem fazer?

Atualizar o SiYuan para a versão 3.7.0 ou posterior e restringir a escrita nos repositórios de workspaces sincronizados a usuários confiáveis até a conclusão da atualização.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.