概要
ナレッジ ベース アプリケーション SiYuan に おいて、/appearance/*filepath エンドポイント に パス トラバーサル の 脆弱性 が 存在 し、任意 の ファイル を 読み取る こと が 可能 です。CWE-22（パストラバーサル）および CWE-73（外部から制御可能なファイル名やパス）に 分類 されます。
攻撃者 は URL パス に ディレクトリ トラバーサル シーケンス を 含める こと で、サーバー 上 の 任意 の ファイル（設定 ファイル、データベース など）に アクセス できます。CVE-2026-33203 と 同様 に、SiYuan 3.6.2 未満 が 影響 を 受けます。
CVSSベクトル
| 項目 | 値 |
|---|---|
| CVSSスコア | 7.5 (High) |
| CWE | CWE-22（パストラバーサル） / CWE-73（外部から制御可能なファイル名やパス） |
| 攻撃元区分 | ネットワーク |
| 攻撃条件の複雑さ | 低 |
| 必要な権限 | 不要 |
| ユーザー操作 | 不要 |
影響を受けるソフトウェア
- SiYuan（3.6.2 未満）
修正バージョンと回避策
- 修正バージョン: SiYuan 3.6.2
- 暫定回避策: SiYuan を ローカルホスト の み で リッスン させ、外部 ネットワーク から の アクセス を 遮断。リバースプロキシ で /appearance パス へ の トラバーサル パターン を フィルタリング
関連リンク
データソース: NVD (NIST) AI解説は Claude API により自動生成されています。正確性については原文をご確認ください。