SiYuan MCP asset.upload Reads Arbitrary Absolute File Paths (Workspace Boundary Bypass) — GHSA-P23F-CM6Q-2QP8

GitHub · GitHub · GHSA-P23F-CM6Q-2QP8

ID
GHSA-P23F-CM6Q-2QP8

Datum
2026-10-02

Quelle
GitHub

Vendor
GitHub

Risiko
mittel

CVSS
5.7

Zusammenfassung

# Security Advisory — SiYuan MCP `asset.upload` Reads Arbitrary Absolute File Paths (Workspace Boundary Bypass) | Field | Value | |---|---| | **Disclosed by** | joysinleung (`joysinleung@gmail.com`) | | **Report date** | 2026-08-13 | | **Product** | SiYuan (思源笔记) — `siyuan-note/siyuan` | | **Go module** | `github.com/siyuan-note/siyuan/kernel` | | **Affected versions** | `<= 3.8.0` (latest release at report time;…

Zeitlicher Verlauf

Von der Quelle veröffentlicht: 2026-10-02

Risikokontext

Gemeldeter Schweregrad oder Risikowert: mittel.
Gemeldeter CVSS-Wert: 5.7 von 10.
Prüfe die Exponierung für das betroffene Produkt oder die Produktfamilie: go: github.com/siyuan-note/siyuan/kernel.

Produkt

go: github.com/siyuan-note/siyuan/kernel

Was tun?

Allgemeine, vorsichtige Schritte (bitte prüfe die offizielle Quelle für Details):

Prüfe Exponierung und plane Maßnahmen nach Risiko und Umfeld.
Identifiziere betroffene Produktversionen und prüfe, ob du betroffen bist.
Spiele Hersteller-Updates/Patches ein oder setze empfohlene Mitigations um.
Lies das offizielle Advisory für betroffene Versionen und konkrete Schritte.

Offizielles Advisory

Zur offiziellen Quelle

Nachweise und Herkunft

Kanonische Advisory-ID: GHSA-P23F-CM6Q-2QP8
Quelle: GitHub
Vendor: GitHub
Von der Quelle veröffentlicht: 2026-10-02
Letzte Quellenaktivität: 2026-10-02
Kuratiert von: hlukh.ch