En bref

  • CVE-2026-39846 (CVSS 9.0) : exécution de code à distance dans SiYuan via injection XSS escaladée en RCE Electron
  • Versions antérieures à 3.6.4 de l'application desktop SiYuan vulnérables — exploitation via synchronisation de notes malveillantes
  • Action urgente : mettre à jour SiYuan vers la version 3.6.4 ou supérieure immédiatement

Les faits

Le 7 avril 2026, la vulnérabilité CVE-2026-39846 a été publiée avec un score CVSS de 9.0 (critique). Elle affecte SiYuan, un système de gestion de connaissances personnelles open source populaire parmi les développeurs et chercheurs. La faille réside dans le traitement du contenu des légendes de tableaux : SiYuan stocke ce contenu sans échappement sécurisé approprié. Lorsqu'une note est rendue dans l'interface, le contenu non échappé est interprété comme du HTML, créant un point d'injection XSS stocké (stored XSS).

L'escalade vers une exécution de code à distance complète est rendue possible par la configuration du renderer Electron de SiYuan Desktop. L'application fonctionne avec nodeIntegration activé et contextIsolation désactivé, ce qui accorde au JavaScript contrôlé par l'attaquant un accès direct aux API Node.js, contournant les protections sandbox habituelles du navigateur. Cette combinaison transforme un simple XSS en une RCE complète sur la machine de la victime.

Le vecteur d'attaque est particulièrement insidieux : un attaquant peut injecter une note piégée dans un espace de travail synchronisé. Lorsque la victime synchronise son workspace et ouvre la note malveillante, le code arbitraire s'exécute automatiquement avec les privilèges de l'utilisateur courant. Ce scénario d'attaque via la chaîne de synchronisation rend l'exploitation silencieuse et difficile à détecter.

Impact et exposition

Tous les utilisateurs de SiYuan Desktop dans des versions antérieures à 3.6.4 utilisant la synchronisation de notes sont directement exposés. SiYuan compte plus de 25 000 étoiles sur GitHub et une communauté active, principalement composée de développeurs, chercheurs et professionnels de la tech. Le risque est amplifié dans les environnements où plusieurs utilisateurs partagent des espaces de travail synchronisés, comme les équipes de recherche ou de documentation technique.

L'exploitation ne nécessite aucune interaction complexe de la victime au-delà de l'ouverture d'une note synchronisée. L'attaquant obtient une exécution de code avec les privilèges complets de l'utilisateur, ce qui peut inclure l'accès aux clés SSH, tokens d'API, fichiers de configuration et autres données sensibles présentes sur la machine. Dans un contexte professionnel, cela peut servir de point d'entrée pour un mouvement latéral vers l'infrastructure de l'entreprise.

Recommandations immédiates

  • Mettre à jour SiYuan Desktop vers la version 3.6.4 ou supérieure immédiatement
  • Auditer les notes récemment synchronisées pour détecter du contenu HTML suspect dans les légendes de tableaux
  • Désactiver temporairement la synchronisation cloud si la mise à jour ne peut pas être appliquée immédiatement
  • Vérifier les processus lancés récemment sur les machines où SiYuan était installé pour détecter une éventuelle compromission
  • Révoquer et renouveler les tokens d'API et clés SSH présents sur les machines potentiellement compromises

⚠️ Urgence

CVSS 9.0 — exécution de code à distance via simple synchronisation de notes. L'exploitation est silencieuse et ne requiert aucune action explicite de la victime au-delà de l'ouverture d'une note. Le correctif est disponible en version 3.6.4. Mettez à jour sans délai.

Comment savoir si je suis vulnérable à CVE-2026-39846 ?

Ouvrez SiYuan Desktop et accédez à Paramètres > À propos pour vérifier votre numéro de version. Toute version antérieure à 3.6.4 est vulnérable. Si vous utilisez la synchronisation cloud ou le partage de workspace, le risque est élevé. Recherchez dans vos notes récentes la présence de balises HTML suspectes dans les légendes de tableaux avec la fonction de recherche globale de SiYuan.

Votre infrastructure est-elle exposée ?

Ayi NEDJIMI réalise des audits ciblés pour identifier et corriger vos vulnérabilités.

Demander un audit