🇰🇷 한글 설명
SiYuan 개인 지식 관리 시스템의 Bazaar 마켓플레이스에서 저자 메타데이터가 HTML escape 없이 렌더링되어 저장된 XSS 취약점 발생. nodeIntegration과 contextIsolation이 활성화된 Electron 환경에서 공격자가 Node.js API를 호출하여 호스트 시스템에서 임의의 코드를 실행할 수 있음.
💡 쉬운 설명
SiYuan 앱의 마켓플레이스에서 악의적인 작성자 정보에 해로운 코드를 숨길 수 있습니다. 사용자가 마켓플레이스를 보면 그 코드가 자동으로 실행되어 공격자가 컴퓨터 전체를 제어할 수 있습니다.
🇺🇸 원문 (English)
SiYuan is an open-source personal knowledge management system. From 2.1.12 to before 3.7.0. SiYuan's Bazaar marketplace renders package author metadata from the public bazaar stage feed into HTML without escaping. In the desktop app this becomes stored XSS, and because SiYuan's Electron windows are created with nodeIntegration: true and contextIsolation: false, a successful payload can call Node.js APIs and execute code on the host. This vulnerability is fixed in 3.7.0.
📍 영향받는 시스템
SiYuan 버전 2.1.12 ~ 3.7.0 이전 (데스크톱 Electron 앱)
⚔️ 공격 벡터
공격자가 Bazaar 마켓플레이스에 악의적인 패키지를 업로드하고 저자 메타데이터에 JavaScript payload를 삽입하여, 사용자가 마켓플레이스 페이지 접근 시 자동 실행
🛡️ 대응 방법
SiYuan을 3.7.0 이상으로 즉시 업그레이드
🔧 검증 코드
설치된 SiYuan 버전을 확인. 버전이 3.7.0 미만이면 취약함. 3.7.0 이상이면 안전함.
dpkg -l 2>/dev/null | grep siyuan || find ~/.local ~/.config -name 'package.json' -path '*siyuan*' -exec grep -h version {} \; 2>/dev/null