CVE-2026-54158: SiYuan: XSS armazenado no renderizador de células de visualização de atributos

Visão geral

O SiYuan é um sistema de gestão de conhecimento pessoal de código aberto. Segundo o aviso, as versões anteriores à 3.7.0 inserem conteúdo bruto de vários tipos de células de visualização de atributos (texto, url, telefone e mAsset) dentro de HTML, o que possibilita cross-site scripting armazenado (CWE-79). Os detalhes estão no aviso de segurança do GitHub.

Impacto

• XSS armazenado: o conteúdo malicioso da célula persiste nos dados do workspace sincronizado e é executado quando um usuário abre o painel de atributos de um bloco que contém essa linha.
• Escalada no desktop: o aviso afirma que, no cliente desktop Electron, onde o renderizador roda com integração Node habilitada, a execução de script pode se estender à execução de código no sistema hospedeiro.
• Severidade: o CNA do GitHub classifica o problema com 9.9 (crítico) no CVSS 3.1, com alto impacto em confidencialidade, integridade e disponibilidade e escopo alterado.

Produtos e versões afetados

• Versões do SiYuan anteriores à 3.7.0, segundo o registro.
• O registro não contém lista estruturada de versões afetadas ou corrigidas. A versão corrigida 3.7.0 vem do texto da descrição.
• O registro não informa se outros clientes do SiYuan (web ou mobile) são afetados da mesma forma.

Status de exploração

O registro indica que este CVE não consta no catálogo KEV da CISA. Nenhuma exploração ativa confirmada aparece nas fontes consultadas. Não há dados de EPSS no registro.

Correção e mitigação

• Atualize o SiYuan para a versão 3.7.0 ou posterior, conforme indicado no aviso.
• Até a atualização, restrinja a permissão de escrita em workspaces compartilhados e sincronizados, já que o caminho de ataque descrito exige acesso de escrita a um workspace sincronizado.
• Trate com cautela o conteúdo de visualizações de atributos vindo de colaboradores não confiáveis antes de abrir os painéis relacionados.
• Siga as orientações do fornecedor e do Electron sobre endurecimento de aplicações desktop, incluindo a configuração de integração Node.

Orientações de detecção

• Revise os dados das visualizações de atributos em busca de valores de célula com marcação HTML ou atributos de manipuladores de evento, especialmente nos campos de texto, URL, telefone e recursos.
• Monitore os workspaces sincronizados em busca de alterações inesperadas em linhas de banco de dados feitas por usuários ou dispositivos desconhecidos.
• Revise a telemetria dos endpoints em busca de processos filhos inesperados iniciados pelo aplicativo desktop do SiYuan, como indicador de alto nível de possível atividade pós-exploração.

Limitações das informações disponíveis

O registro não contém pontuação NVD, pontuação EPSS, dados estruturados de produtos ou versões e nenhuma evidência de exploração. O título em inglês não foi fornecido e foi redigido a partir da descrição. Detalhes técnicos além do aviso citado não foram verificados de forma independente.

Perguntas frequentes

Quais versões do SiYuan são afetadas pelo CVE-2026-54158?

Segundo o registro, são afetadas as versões do SiYuan anteriores à 3.7.0. O registro não traz uma lista estruturada de versões afetadas, então versões mais antigas devem ser conferidas com o aviso.

Esta vulnerabilidade está sendo explorada ativamente?

O registro indica que o CVE não consta no catálogo KEV da CISA e nenhuma exploração ativa confirmada aparece nas fontes consultadas. A ausência de dados nessas fontes não prova que a exploração não ocorreu.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.