CVE-2026-54069: SiYuan Note: falha na validação de origem permite acesso administrativo por extensões do navegador
O SiYuan Note, em versões anteriores à 3.7.0, confia em todas as origens chrome-extension:// com privilégios de administrador no servidor HTTP local do kernel. Segundo o registro, a instalação desktop padrão não possui código de autorização de acesso, o que permitiria que extensões instaladas no navegador acessassem a API administrativa. O registro informa que a correção está na versão 3.7.0.
Visão geral
O SiYuan é uma aplicação de código aberto para gerenciamento de conhecimento pessoal. Segundo o registro, o servidor HTTP do kernel, em versões anteriores à 3.7.0, confia em todas as origens chrome-extension:// e concede a essas requisições acesso de nível administrador, sem autenticação. O registro classifica a fraqueza como CWE-346 (Erro de Validação de Origem).
Impacto
- Qualquer extensão instalada no navegador que consiga enviar requisições ao kernel local poderia atuar com o papel de administrador, segundo o registro.
- O registro cita exfiltração de dados, injeção de XSS armazenado e adulteração de configurações como possíveis consequências.
- O registro observa que uma extensão legítima comprometida, por meio de ataque à cadeia de suprimentos, é uma possível via de acesso.
- A pontuação base CVSS 4.0 de 9.2 (crítica) foi atribuída pelo CNA, com alto impacto em confidencialidade, integridade e disponibilidade, sem exigir privilégios nem interação do usuário.
Produtos e versões afetados
- SiYuan Note, em versões anteriores à 3.7.0, conforme indicado na descrição.
- A lista estruturada de produtos afetados no registro está vazia, portanto intervalos de versões e detalhes de plataforma estruturados não estão disponíveis.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA. Nenhuma exploração confirmada aparece nas fontes consultadas. O registro não contém dados de EPSS.
Correção e mitigação
- Atualize o SiYuan Note para a versão 3.7.0 ou superior, que, segundo o registro, contém a correção.
- Revise as extensões do navegador instaladas em sistemas que executam o SiYuan Note e remova as desnecessárias ou não confiáveis.
- Quando a aplicação permitir, defina um código de autorização de acesso em vez de manter o valor padrão vazio.
- Mantenha as extensões do navegador atualizadas e limite a instalação a fontes confiáveis.
Orientações de detecção
- Faça o inventário das instalações do SiYuan Note e de suas versões nos endpoints desktop.
- Revise o inventário de extensões do navegador em sistemas com versões afetadas, buscando extensões inesperadas ou alteradas recentemente.
- Monitore alterações inesperadas na configuração do SiYuan ou no conteúdo das notas, já que o registro associa o risco à adulteração de configurações e à injeção de conteúdo.
Limitações das informações disponíveis
- O registro não traz lista estruturada de versões afetadas além da expressão anteriores à 3.7.0, nem nome do CWE.
- O registro não descreve as requisições específicas, as verificações de origem ou o comportamento das extensões envolvidos.
- Não há pontuação EPSS disponível e nenhuma evidência de exploração foi fornecida nas fontes consultadas.
- O registro não verifica de forma independente se a correção na versão 3.7.0 é completa.
Perguntas frequentes
Esta vulnerabilidade está corrigida?
O registro informa que a vulnerabilidade está corrigida no SiYuan Note 3.7.0. A atualização para essa versão ou superior é a principal medida de correção.
Há exploração conhecida desta CVE?
O registro não lista esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.