Siyuan: fehlerhafte Autorisierung (CVE-2026-60083)

Was ist betroffen, was ist zu tun

Versionen von SiYuan vor v3.8.0 enthalten in der MCP-Datei ein unvollständiges Pfadblocklist, das den Zugriff auf sensible Arbeitsbereichsdateien, die durch die HTTP-API geschützt sind, nicht einschränkt. Authentifizierte Administratoren können Passwörter im Klartext aus data/.siyuan/publishAccess.json lesen und auf andere sensible Dateien wie data/templates und data/snippets/conf.json zugreifen.

Aktualisieren Sie Siyuan auf Version 3.8.0.

Betroffen

• Siyuan lt *..3.8.0

Behoben in

• Siyuan 3.8.0

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Behandeln Sie die Schwachstelle im regulären Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2.

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Ab dem 11.12.2027 verpflichtet Anhang I Teil II CRA Hersteller betroffener Produkte mit digitalen Elementen, Schwachstellen unverzüglich zu behandeln und Sicherheitsupdates bereitzustellen.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Versionen von SiYuan vor v3.8.0 enthalten in der MCP-Datei ein unvollständiges Pfadblocklist, das den Zugriff auf sensible Arbeitsbereichsdateien, die durch die HTTP-API geschützt sind, nicht einschränkt. Authentifizierte Administratoren können Passwörter im Klartext aus data/.siyuan/publishAccess.json lesen und auf andere sensible Dateien wie data/templates und data/snippets/conf.json zugreifen.

Originalquelle nur englisch verfügbar, maschinell ins Deutsche übersetzt.

Quelle: OSV (Open Source Vulnerabilities), GitHub Security Advisories, NVD (NIST), cvelistv5

Hersteller und Produkte

• Go Github.com/siyuan-note/siyuan/kernel
• Siyuan-note Siyuan

Weakness-Klassen (CWE)

• CWE-863Incorrect Authorization

  Class

  The product performs an authorization check when an actor attempts to access a resource or perform an action, but it does not correctly perform the check.

  Eintrag bei MITRE CWE-863

Quellen & Referenzen

• github.comGitHub Security Advisory (GHSA-c8r8-95hg-mp34)Herstellerhinweis, web
• vulncheck.comVulnCheck Advisory: SiYuan before v3.8.0 Incomplete Path Blocklist via MCP file toolHinweis Dritter, web
• NVD (NIST)vuln/detail/CVE-2026-60083advisory
• github.comsiyuan-note/siyuan/commit/3542530c505f13aa3fbd0343627409ca6c000…web
• github.comsiyuan-note/siyuanpackage
• github.comsiyuan-note/siyuan/releases/tag/v3.8.0web

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 24.08.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: keine bekannt, automatisierbar: nein

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	ergänzt	—	{"id":"CVE-2026-60083","role":"CISA Coordinator","options":[{"exploitation":"none"},{"automatable":"no"},{"technicalImpact":"partial"}],"version":"2.0.3","timestamp":"2026-08-24T18:40:48.540853Z"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

2. 22.08.2026Neu erfasstVulnCheck

   CVSS V4.0: AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N

   CVSS V3.1: AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N

   Schwachstellentyp: CWE-863

   Beschreibung erfasst oder geändert

   Neue Referenzen:

   • https://github.com/siyuan-note/siyuan/security/advisories/GHSA-c8r8-95hg-mp34
   • https://www.vulncheck.com/advisories/siyuan-before-incomplete-path-blocklist-via-mcp-file-tool
   7 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Betroffene Versionen (Herausgeber)	ergänzt	—	siyuan
   Beschreibung	ergänzt	—	SiYuan versions before v3.8.0 contain an incomplete path blocklist in the MCP file tool that fails to restrict access to sensitive workspace files protected by the HTTP API. Authenticated administrators can read plaintext publish-mode passwords from data/.siyuan/publishAccess.json and access other sensitive files like data/templates and data/snippets/conf.json.
   CVSS	ergänzt	—	AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
   CVSS	ergänzt	—	AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N
   Schwachstellentyp (CWE)	ergänzt	—	CWE-863
   Referenz	ergänzt	—	https://github.com/siyuan-note/siyuan/security/advisories/GHSA-c8r8-95hg-mp34
   Referenz	ergänzt	—	https://www.vulncheck.com/advisories/siyuan-before-incomplete-path-blocklist-via-mcp-file-tool

   Kennung der Quelle: disclosure@vulncheck.com

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.