🇰🇷 한글 설명
SiYuan v3.7.4 미만 버전에서 setFileAnnotation 엔드포인트를 통해 디스크에 기록되는 주석 필드의 검증 및 이스케이프 처리가 누락되었습니다. 공격자가 주석 필드에 악성 마크업을 삽입하면, 사용자가 주석이 달린 PDF를 열 때 PDF 렌더러에서 스크립트가 실행되어 전체 Node.js 권한을 탈취할 수 있습니다.
💡 쉬운 설명
PDF 파일에 몰래 악성 코드를 숨겨두는 공격입니다. 사용자가 해당 PDF를 열기만 해도 해커가 컴퓨터의 제어권을 가져갈 수 있어 매우 위험합니다.
🇺🇸 원문 (English)
SiYuan versions before v3.7.4 fail to validate or escape annotation fields written to disk by the setFileAnnotation endpoint. Attackers can inject malicious markup into annotation fields that execute as script in the PDF renderer with full Node.js access when a user opens an annotated PDF.
📍 영향받는 시스템
SiYuan versions before v3.7.4
⚔️ 공격 벡터
악성 마크업이 포함된 주석이 삽입된 PDF 파일을 사용자가 열도록 유도
🛡️ 대응 방법
SiYuan을 최신 버전인 v3.7.4 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
현재 설치된 SiYuan의 버전이 v3.7.4 미만인지 확인하십시오.
grep -r "version" /path/to/siyuan/config/file 2>/dev/null || echo 'Check SiYuan application version via UI'