CVE-2026-39846 : RCE via synchronisation SiYuan (CVSS 9)

Les faits

Le 7 avril 2026, la vulnérabilité CVE-2026-39846 a été publiée avec un score CVSS de 9.0 (critique). Elle affecte SiYuan, un système de gestion de connaissances personnelles open source populaire parmi les développeurs et chercheurs. La faille réside dans le traitement du contenu des légendes de tableaux : SiYuan stocke ce contenu sans échappement sécurisé approprié. Lorsqu'une note est rendue dans l'interface, le contenu non échappé est interprété comme du HTML, créant un point d'injection XSS stocké (stored XSS).

L'escalade vers une exécution de code à distance complète est rendue possible par la configuration du renderer Electron de SiYuan Desktop. L'application fonctionne avec nodeIntegration activé et contextIsolation désactivé, ce qui accorde au JavaScript contrôlé par l'attaquant un accès direct aux API Node.js, contournant les protections sandbox habituelles du navigateur. Cette combinaison transforme un simple XSS en une RCE complète sur la machine de la victime.

Le vecteur d'attaque est particulièrement insidieux : un attaquant peut injecter une note piégée dans un espace de travail synchronisé. Lorsque la victime synchronise son workspace et ouvre la note malveillante, le code arbitraire s'exécute automatiquement avec les privilèges de l'utilisateur courant. Ce scénario d'attaque via la chaîne de synchronisation rend l'exploitation silencieuse et difficile à détecter.

Impact et exposition

Tous les utilisateurs de SiYuan Desktop dans des versions antérieures à 3.6.4 utilisant la synchronisation de notes sont directement exposés. SiYuan compte plus de 25 000 étoiles sur GitHub et une communauté active, principalement composée de développeurs, chercheurs et professionnels de la tech. Le risque est amplifié dans les environnements où plusieurs utilisateurs partagent des espaces de travail synchronisés, comme les équipes de recherche ou de documentation technique.

L'exploitation ne nécessite aucune interaction complexe de la victime au-delà de l'ouverture d'une note synchronisée. L'attaquant obtient une exécution de code avec les privilèges complets de l'utilisateur, ce qui peut inclure l'accès aux clés SSH, tokens d'API, fichiers de configuration et autres données sensibles présentes sur la machine. Dans un contexte professionnel, cela peut servir de point d'entrée pour un mouvement latéral vers l'infrastructure de l'entreprise.

Recommandations immédiates

• Mettre à jour SiYuan Desktop vers la version 3.6.4 ou supérieure immédiatement
• Auditer les notes récemment synchronisées pour détecter du contenu HTML suspect dans les légendes de tableaux
• Désactiver temporairement la synchronisation cloud si la mise à jour ne peut pas être appliquée immédiatement
• Vérifier les processus lancés récemment sur les machines où SiYuan était installé pour détecter une éventuelle compromission
• Révoquer et renouveler les tokens d'API et clés SSH présents sur les machines potentiellement compromises