🇰🇷 한글 설명
SiYuan 데스크톱 v3.7.2 미만 버전의 bazaar 플러그인 readme 핸들러에서 반사형 XSS 취약점이 발견되었습니다. 공격자가 악의적인 siyuan:// 딥 링크를 생성하여 플러그인 이름 파라미터에 HTML 페이로드를 주입하면, 보안 설정이 미흡한 Electron 렌더러를 통해 Node.js 권한으로 임의 코드를 실행할 수 있습니다.
💡 쉬운 설명
악성 링크를 클릭하는 것만으로도 해커가 사용자의 컴퓨터에서 몰래 명령을 실행할 수 있는 위험한 보안 결함입니다. 이 문제는 프로그램 내부의 보안 설정 오류를 이용해 해커가 컴퓨터 제어권을 탈취할 수 있게 만듭니다.
🇺🇸 원문 (English)
SiYuan desktop before v3.7.2 contains a reflected cross-site scripting vulnerability in the bazaar plugin readme handler that allows attackers to execute arbitrary code by crafting a malicious siyuan:// deep link. Attackers can inject HTML payloads via the plugin name parameter that execute with full Node.js access through insertAdjacentHTML rendering in an insecurely configured Electron renderer.
📍 영향받는 시스템
SiYuan desktop v3.7.2 미만 버전
⚔️ 공격 벡터
악의적으로 조작된 siyuan:// 딥 링크를 통한 HTML 페이로드 주입
🛡️ 대응 방법
SiYuan 데스크톱을 v3.7.2 이상 버전으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 v3.7.2보다 낮은지 확인하십시오.
siyuan --version 2>/dev/null || echo 'Version check failed'