🇰🇷 한글 설명
SiYuan 지식 관리 시스템의 3.8.0~3.8.3 버전에서 MCP 파일 도구의 경로 보호 기능이 불완전하게 구현되어 발생한 취약점입니다. 인증된 관리자가 재귀적 파일 작업 시 보호된 경로 검사를 우회하여 민감한 설정 파일이나 키 파일을 읽거나 복사 또는 덮어쓸 수 있습니다.
💡 쉬운 설명
시스템의 중요한 파일을 보호하는 방어벽에 구멍이 있어, 권한이 있는 사용자가 숨겨진 중요한 설정 파일들을 몰래 꺼내거나 바꿀 수 있는 문제입니다. 마치 금고 문은 잠겨 있지만, 금고 안의 서류를 복사해서 밖으로 가져가는 것을 막지 못하는 것과 같습니다.
🇺🇸 원문 (English)
SiYuan is a self-hosted personal knowledge management system. In versions 3.8.0 through 3.8.3, the MCP file tool's sensitive-path guard (util.IsForbiddenAbsPath(), invoked from resolvePath()) is applied only to the allowed root of recursive operations and not to each resolved descendant path — an incomplete fix for GHSA-c8r8-95hg-mp34. An authenticated administrator using the in-app Agent or the external MCP server can therefore bypass the protected-workspace-file denylist: file.grep can return matching lines from non-hidden protected descendants (for example conf/conf.json, TLS keys, data/snippets/conf.json, data/templates/, data/.siyuan/publishAccess.json, notebook .siyuan internals, or the kernel log), file.copy can copy protected descendants to an ordinary path where file.read can then retrieve them, and unzip can overwrite protected descendants using ordinary, lexically contained ZIP member names. Because file.grep is globally classified as a safe action, it receives no per-call confirmation, and the confirmation cards for file.copy and unzip show only the allowed root arguments. This issue is fixed in version 3.8.4. Suggested title: SiYuan 3.8.0 through 3.8.3 Sensitive-Path Guard Bypass in Recursive MCP File Operations.
📍 영향받는 시스템
SiYuan versions 3.8.0 through 3.8.3
⚔️ 공격 벡터
인증된 관리자가 MCP Agent 또는 외부 MCP 서버를 통해 재귀적 파일 작업(grep, copy, unzip)을 수행하여 보호된 경로 우회
🛡️ 대응 방법
SiYuan을 최신 버전인 3.8.4 이상으로 업데이트하십시오.
🔧 검증 코드
출력된 태그 버전이 3.8.4보다 낮으면 취약한 버전이 설치되어 있는 것입니다.
curl -s https://api.github.com/repos/siyuan-note/siyuan/releases | grep -E 'tag_name' | head -n 5