SiYuan vor Version 3.7.4: Sechs kritische Lücken erlauben Codeausführung und Token-Bruteforce

Kurzfassung

SiYuan ist vor Version 3.7.4 gleich mehrfach angreifbar. Betroffen sind unter anderem gespeicherte Skriptinhalte in der Desktop-Oberfläche, unsauber behandelte Metadaten und zwei Stellen, an denen sich Zugangsdaten ohne saubere Sperrmechanik raten lassen. Besonders heikel: Mehrere der Schwachstellen können in der Desktop-App bis zur Codeausführung reichen. Für Umgebungen im DACH-Raum, in denen SiYuan produktiv oder für sensible Notizen genutzt wird, ist das kein Randthema. Wer die Software im Einsatz hat, sollte die Version jetzt prüfen und auf 3.7.4 oder neuer gehen.

Was ist passiert?

Für SiYuan wurden mehrere kritische Sicherheitslücken veröffentlicht, alle in Versionen vor 3.7.4. Die Schwachstellen betreffen verschiedene Teile der Anwendung: Annotationen in PDFs, Datenbank-Menüs, Template-Berechnungen, Attributfelder sowie die Authentifizierung im Kernel. Das Muster ist unschön. Ein Teil der Lücken erlaubt Angriffe über eingeschleuste HTML- oder JavaScript-Inhalte. Zwei weitere Schwächen öffnen die Tür für unbegrenzte Passwort- oder Token-Versuche gegen die Authentifizierung.

Für Angreifer ist das attraktiv, weil SiYuan lokal laufende Desktop-Komponenten mit Node-Integration nutzt. Wenn bösartiger Inhalt in der Oberfläche ausgeführt wird, ist der Sprung zu weitergehenden Systemzugriffen deutlich kürzer als bei einer normalen Browser-Session.

Technische Details

CVE-2026-73041 betrifft die Funktion zum Setzen von Datei-Annotationen. Inhalte werden vor dem Schreiben auf die Festplatte nicht sauber validiert oder escaped. Wer eine annotierte PDF-Datei öffnet, kann dadurch eingeschleuste Markup-Inhalte auslösen. Laut Beschreibung führt das im PDF-Renderer zu Skriptausführung mit vollem Node.js-Zugriff.

CVE-2026-73042 sitzt in der Darstellung von Metadaten im Datenbank-Menü. Felder und Beschreibungen werden in HTML eingebettet, ohne die Werte korrekt zu entschärfen. Öffnet ein Nutzer Gruppen-, Ansichts- oder Feldbearbeitungsmenüs, kann manipulierte Eingabe als Skript landen. Die Folge ist gespeicherte Cross-Site-Scripting-ähnliche Ausführung in der Electron-Oberfläche, mit Zugriff auf Node-Bausteine.

CVE-2026-73043 betrifft die Template-Berechnung. Dort rendert SiYuan vom Nutzer erstellte Go-Templates und speichert das Ergebnis unverändert. Ohne Sanitisierung reicht ein präpariertes Template, um HTML und JavaScript in den Desktop-Client zu schleusen. Wird die Datenbank geöffnet, kann das im Renderer zu Codeausführung führen.

CVE-2026-73052 ist verwandt, aber an einer anderen Stelle verortet. Attribut-View-Feldnamen werden ohne HTML-Escaping gespeichert und direkt in Options-Elemente eingebaut. Ein umbenanntes Datenbankfeld reicht, um beim Öffnen des Sortiermenüs Schadcode auszuführen. Auch hier spielt die Node-Integration der Desktop-App eine zentrale Rolle.

Bei CVE-2026-73046 geht es um die Authentifizierung. Die CheckAuth()-Middleware begrenzt zu viele Versuche nicht sauber. Der HTTP-Basic-Auth-Pfad für den Zugriff auf weite Teile von /api/* umgeht CAPTCHA und Sperrmechanismen. Ein externer Angreifer kann den Workspace-Zugangscode damit automatisiert erraten und bei Erfolg RoleAdministrator-Rechte auf dem Kernel erlangen. Zusätzlich wird der Code offenbar nicht in konstanter Zeit verglichen. Das erhöht das Risiko von Timing-Angriffen, auch wenn dazu hier keine weiteren Details genannt werden.

CVE-2026-73056 beschreibt eine ähnliche Schwäche, diesmal beim API-Token. Der Token kann über den Authorization-Header oder per ?token= übergeben werden, ohne dass die Schutzmechanik gegen zu viele Fehlversuche greift. Wer ein schwaches oder kurzes Token gesetzt hat, macht es Angreifern besonders leicht. Ein Treffer reicht dann für Administratorrechte, inklusive Dateioperationen und SQL-Abfragen.

Wer ist betroffen?

Betroffen sind alle SiYuan-Installationen vor Version 3.7.4. Die Beschreibung nennt keine Einschränkung auf einzelne Betriebssysteme, daher ist von allen unterstützten Desktop-Umgebungen auszugehen. Für Unternehmen im DACH-Raum ist das vor allem dann relevant, wenn SiYuan für Wissensmanagement, Projektdokumentation oder interne Notizen genutzt wird.

Privatanwender sind ebenfalls betroffen, wenn sie PDF-Anmerkungen, Datenbanken oder Templates in der App verwenden. Kritisch wird es vor allem dort, wo fremde Inhalte geöffnet werden oder mehrere Personen an derselben Instanz arbeiten. Ob auch spezielle Distributionen oder angepasste Builds betroffen sind, lässt der Hersteller in der vorliegenden Meldung offen.

Empfohlene Maßnahmen

Erstens: Auf Version 3.7.4 oder neuer aktualisieren. Das ist die zentrale Maßnahme, und sie hat Priorität vor jeder Feinarbeit.

Zweitens: Falls SiYuan im Team läuft, den Zugriff auf die Instanz vorübergehend einschränken, bis das Update ausgerollt ist. Besonders die Administrator- und API-Zugänge sollten nur aus vertrauenswürdigen Netzen erreichbar sein.

Drittens: Wenn ein kurzer oder historisch gewachsener API-Token genutzt wird, sofort ersetzen. Dasselbe gilt für Workspace-Zugangscodes, die nie auf Stärke geprüft wurden. Wer solche Werte in Skripten, Dokumentationen oder Passwortmanagern abgelegt hat, sollte die Ablage ebenfalls bereinigen.

Viertens: In produktiven Umgebungen prüfen, ob Anwender mit fremden PDFs, Datenbankeinträgen oder Templates arbeiten. Genau dort sitzt ein Großteil des Risikos. Bis zur Aktualisierung gilt: keine unbekannten Inhalte öffnen, keine unklaren Vorlagen importieren und keine extern gelieferten Datenbanken blind einspielen.

Admins sollten außerdem Logs auf ungewöhnlich viele Authentifizierungsversuche prüfen. Wiederholte Anfragen an /api/*, auffällige Basic-Auth-Versuche oder Token-Fehler gehören in den Blick. Ein sauberer Patch ersetzt die Analyse nicht, aber er beendet das eigentliche Einfallstor.

Einschätzung von CyberSecurity-News.de

Die Lage ist ernst. Nicht wegen eines einzelnen Fehlers, sondern wegen der Häufung. SiYuan kombiniert hier gleich mehrere klassische Probleme: unzureichendes Escaping, zu viel Vertrauen in Nutzereingaben und schwache Authentifizierungsgrenzen. Das ist kein kosmetischer Bug, sondern ein echter Sicherheitsbruch.

Für die meisten Leser dürfte SiYuan zwar kein Kernsystem sein. Wer die Software aber produktiv oder mit sensiblen Inhalten nutzt, hat sofort Handlungsbedarf. Besonders unangenehm ist die Authentifizierungsseite: Wenn ein Angreifer einen API-Token oder Zugangscode unbegrenzt raten kann, hilft auch ein gutes Passwortkonzept wenig, solange die Sperrmechanik fehlt.

Die Informationslage ist ausreichend, um klar zu handeln, aber nicht üppig genug für Feinschliff. Ob alle Varianten, Builds oder Integrationen betroffen sind, wird nicht sauber aufgedröselt. Das ändert nichts an der Empfehlung: patchen, Zugangsdaten prüfen, Exposition reduzieren.

Fazit

SiYuan vor 3.7.4 sollte nicht weiter betrieben werden, wenn sich das Update zeitnah einspielen lässt. Mehrere kritische Schwachstellen erlauben Codeausführung oder das Erraten von Administratorzugängen. Wer die Software im Einsatz hat, muss jetzt handeln, nicht erst beim nächsten Wartungsfenster.

Quellenangabe

Weiterführende Quelle: NVD-Eintrag zu CVE-2026-73041. Die hier zusammengefassten Informationen beziehen sich außerdem auf die CVEs CVE-2026-73042, CVE-2026-73043, CVE-2026-73046, CVE-2026-73052 und CVE-2026-73056 aus der angegebenen NVD-Quelle.