CVE-2026-55570: SiYuan: XSS em cards do marketplace com execução de comandos no cliente desktop
A CVE-2026-55570 afeta versões do SiYuan anteriores à 3.7.0, nas quais campos não confiáveis de pacotes não são escapados no marcado dos cards do marketplace. No cliente desktop, esse XSS baseado em DOM pode escalar para execução arbitrária de comandos no sistema operacional, e o registro classifica a severidade como crítica com CVSS 3.1 nota 9. A atualização para a versão 3.7.0 ou superior é a principal medida, e nenhuma exploração confirmada aparece nas fontes consultadas.
Visão geral
O SiYuan é um sistema de gerenciamento pessoal de conhecimento de código aberto. Segundo o registro, versões anteriores à 3.7.0 não escapam campos como name, version, author e description ao montar o marcado dos cards do marketplace, permitindo que metadados de pacotes saiam do atributo HTML. O registro classifica a fraqueza como CWE-79 (Cross-site Scripting). O aviso está em GHSA-x88j-wgpr-h22x.
Impacto
- Cross-site scripting na interface do marketplace, que roda dentro da aplicação.
- Segundo o registro, no cliente desktop o marcado injetado pode escalar para execução arbitrária de comandos no sistema operacional por causa da configuração do renderizador.
- O vetor CVSS 3.1 indica impacto alto em confidencialidade, integridade e disponibilidade, com escopo alterado e necessidade de interação do usuário.
Versões afetadas e produtos
- Produto: SiYuan (siyuan-note/siyuan), conforme a URL do aviso.
- Versões: a descrição indica versões anteriores à 3.7.0. A lista estruturada de afetados no registro está vazia, então a faixa exata deve ser confirmada no aviso.
Status de exploração
O registro indica que esta CVE não consta no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Não há pontuação EPSS no registro.
Correção e mitigação
- Atualize o SiYuan para a versão 3.7.0 ou superior, que a descrição identifica como versão corrigida.
- Até a atualização, limite a exposição do cliente desktop a pacotes de marketplace não confiáveis e evite instalar pacotes de origem desconhecida.
- Consulte o aviso para eventuais medidas adicionais indicadas pelos mantenedores.
Orientações de detecção
- Inventarie as instalações desktop do SiYuan e registre suas versões.
- Revise os pacotes de marketplace instalados nos endpoints, atentando para nomes e metadados inesperados ou não verificados.
- Monitore processos filhos inesperados iniciados pela aplicação SiYuan como indicador de alto nível de abuso.
Limitações das informações disponíveis
- O registro tem listas de afetados e correções vazias; a versão corrigida vem do texto da descrição.
- O aviso original citado na descrição não é identificado por URL no registro.
- Não há dados de EPSS ou SSVC no registro, e o status de exploração é desconhecido além das fontes consultadas.
Perguntas frequentes
Quais versões do SiYuan são afetadas pela CVE-2026-55570?
A descrição indica que versões anteriores à 3.7.0 são afetadas. A lista estruturada de afetados no registro está vazia, então a faixa exata deve ser confirmada no aviso do GitHub.
A CVE-2026-55570 está sendo explorada ativamente?
O registro não lista esta CVE no catálogo KEV da CISA, e nenhuma exploração confirmada aparece nas fontes consultadas. Mesmo assim, a organização deve tratá-la como prioridade alta dada a pontuação CVSS crítica.
Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.