CVE-2026-34449

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.6.2

Descrição Uma falha de segurança existe no SiYuan que permite que um site malicioso alcance Execução Remota de Código (RCE) em um sistema desktop executando o aplicativo. Isso é possível devido a uma política CORS permissiva (Access-Control-Allow-Origin: * + Access-Control-Allow-Private-Network: true) que permite a injeção de um snippet JavaScript via a API. O snippet injetado é executado dentro do contexto Node.js do Electron, concedendo acesso total ao sistema operacional quando o usuário abre a interface do SiYuan. O ataque requer apenas uma visita ao site malicioso enquanto o SiYuan está em execução e não requer nenhuma interação do usuário. A vulnerabilidade reside no middleware CORS (kernel/server/serve.go, linhas 960-963) e no endpoint de injeção de snippet (kernel/api/snippet.go, linhas 93-128). O cabeçalho Access-Control-Allow-Private-Network: true ignora a proteção de Acesso de Rede Privada do Chrome, permitindo solicitações de origem cruzada para a API SiYuan em 127.0.0.1:6806. A verificação do middleware de autenticação é ignorada porque o navegador envia o cookie da sessão com a solicitação de origem cruzada. Um invasor pode explorar isso enviando uma solicitação POST para o endpoint da API /api/snippet/setSnippet com um snippet JavaScript malicioso, que é então salvo e executado pelo SiYuan. Isso permite a execução de código arbitrário, exfiltração de dados e persistência potencial no sistema afetado.

Recomendações Atualize o SiYuan para a versão 3.6.2 ou posterior.