「siyuan」の脆弱性 CVE-2026-69084: SQLインジェクション

どんな危険があるか

SiYuanのバージョンv3.7.2以前に存在するSQLインジェクションの脆弱性です。searchEmbedBlockエンドポイントがクライアント提供のSQLステートメントをそのまま実行するため、攻撃者は認証が不要な公開モードやRoleReaderトークンを利用して任意のSQLコマンドを実行できます。これにより、開いている全てのクリアテキストノートブック間でコンテンツの読み取りや変更が行われる可能性があります。

今すぐやること

影響を受けるSiYuanのバージョンはv3.7.2以前です。この脆弱性はバージョンv3.7.3で修正されています。運用者は、速やかにSiYuanをv3.7.3以降のバージョンにアップグレードしてください。詳細な情報については、GitHubのセキュリティアドバイザリを参照し、影響範囲を正確に確認してください。