🇰🇷 한글 설명
SiYuan 3.8.2 미만 버전에서 공격자가 수정 가능한 text/siyuan 클립보드 MIME 타입을 신뢰하여 붙여넣기 처리 시 검증을 건너뛰는 취약점이 발견되었습니다. 공격자가 악성 웹 페이지를 통해 클립보드에 코드를 심고 사용자가 이를 SiYuan에 붙여넣으면, Electron 메인 프로세스를 통해 Node.js 권한으로 임의 코드가 실행될 수 있습니다.
💡 쉬운 설명
악성 웹사이트를 방문한 뒤 내용을 복사해서 SiYuan 노트에 붙여넣기만 해도 해커가 내 컴퓨터를 조종할 수 있는 위험한 보안 결함입니다. 클립보드에 숨겨진 악성 코드가 프로그램의 보안 검사를 우회하여 실행되기 때문에 발생합니다.
🇺🇸 원문 (English)
SiYuan before 3.8.2 trusts the attacker-writable text/siyuan clipboard MIME type and skips sanitization in the paste handler, allowing code execution in the Node-enabled desktop renderer. Attackers can craft malicious web pages that write to the clipboard, and when pasted into SiYuan, injected scripts execute with full Node.js access through the Electron main process.
📍 영향받는 시스템
SiYuan 3.8.2 미만 모든 버전
⚔️ 공격 벡터
악성 웹 페이지를 통한 클립보드 데이터 조작 및 사용자의 붙여넣기 동작 유도
🛡️ 대응 방법
SiYuan을 최신 버전인 3.8.2 이상으로 즉시 업데이트하십시오.
🔧 검증 코드
출력된 버전 번호가 3.8.2보다 낮은지 확인하십시오.
siyuan --version 2>/dev/null || echo 'Version check failed'