🇰🇷 한글 설명
SiYuan은 오픈소스 개인 지식관리 시스템입니다. 3.7.0 이전 버전에서는 속성 보기(데이터베이스) 자산 셀 렌더러에 저장형 XSS 취약점이 존재하며, 이를 통해 Electron 데스크톱 클라이언트에서 원격 코드 실행(RCE)으로 확장될 수 있습니다. 이 취약점은 3.7.0 버전에서 수정되었습니다.
💡 쉬운 설명
메모 앱 SiYuan의 데이터베이스 기능에 악성 코드를 심을 수 있는 결함이 있습니다. 이를 통해 공격자가 사용자 컴퓨터에서 임의의 명령을 실행할 수 있습니다.
🇺🇸 원문 (English)
SiYuan is an open-source personal knowledge management system. Prior to 3.7.0, SiYuan contains a stored cross-site scripting (XSS) vulnerability in the Attribute View (database) asset cell renderer that escalates to remote code execution (RCE) in the Electron desktop client. This vulnerability is fixed in 3.7.0.
📍 영향받는 시스템
SiYuan 3.7.0 미만 버전의 데스크톱(Electron) 클라이언트
⚔️ 공격 벡터
공격자가 속성 보기(데이터베이스) 셀에 악성 스크립트를 저장하고, 피해자가 해당 콘텐츠를 열면 Electron 환경에서 코드가 실행됨
🛡️ 대응 방법
SiYuan을 3.7.0 이상 버전으로 업데이트
🔧 검증 코드
출력된 버전 번호가 3.7.0 미만이면 취약, 3.7.0 이상이면 수정된 버전입니다. 명령이 실패하면 설치 경로를 직접 확인하세요.
siyuan --version 2>/dev/null || grep -m1 '"version"' /Applications/SiYuan.app/Contents/Resources/app/package.json 2>/dev/null