🔴 《严重安全漏洞：CVE-2026-66395》

CVSS 评分: 严重（9.4）　　状态: Received　　发布时间: 2026-07-27

漏洞简介

CVE-2026-66395 是一个存在于 SiYuan 桌面版（SiYuan desktop）中的反射型跨站脚本（Reflected Cross-Site Scripting，CWE-79）漏洞。该漏洞位于 bazaar 插件的 readme 处理程序中，攻击者可以通过构造恶意的 siyuan:// 深度链接（deep link）来触发漏洞。具体而言，攻击者能够通过插件名称参数（plugin name parameter）注入 HTML 负载（payload），这些负载会在一个配置不安全的 Electron 渲染器（renderer）中，通过 insertAdjacentHTML 渲染，从而获得完整的 Node.js 访问权限，最终实现任意代码执行（arbitrary code execution）。

影响范围

  • 受影响版本：SiYuan 桌面版（SiYuan desktop）v3.7.2 之前的版本
  • 修复版本：v3.7.2 及更高版本
  • 攻击向量：远程攻击，无需认证，但需要用户交互（例如点击恶意链接）
  • 攻击复杂度：低（攻击者只需构造并诱导用户点击恶意深度链接）

风险分析

  • 攻击后果：成功利用此漏洞的攻击者可以在受害者设备上以 Node.js 权限执行任意代码，这可能导致：
    • 完全控制受影响的 SiYuan 桌面应用
    • 窃取或篡改本地数据
    • 进一步渗透用户系统（例如通过 Node.js 访问文件系统、执行系统命令）
    • 在 Electron 渲染器环境下，由于配置不安全，攻击者可能绕过沙箱限制，获得更高的系统权限
  • CVSS 评分：根据 CVSS:4.0 向量（AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H），该漏洞的严重性极高，主要因为：
    • 攻击者无需任何权限（PR:N）
    • 对机密性、完整性和可用性均造成高影响（VC:H/VI:H/VA:H）
    • 影响范围可能超出当前组件（SC:H/SI:H/SA:H）
  • 利用方式：攻击者通过构造包含恶意 HTML 负载的 siyuan:// 深度链接，诱导用户点击。当 SiYuan 桌面版处理该链接时，负载在 bazaar 插件的 readme 处理程序中被执行，导致反射型 XSS 攻击，进而升级为远程代码执行（RCE）。

🔍 技术细节

字段 值
CVE ID CVE-2026-66395
CVSS 评分 9.4 🔴
严重程度 严重
CVSS 向量 CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:P/VC:H/VI:H/VA:H/SC:H/SI:H/SA:H/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
CWE 分类 CWE-79
发布时间 2026-07-27
最后更新 2026-07-27
状态 Received
数据来源 disclosure@vulncheck.com

🔗 参考链接