FICHE CVE

CVE-2025-21609

Publiée le 2025-01-03 · Dernière modification le 2026-06-17

🇫🇷 EN BREF

La version 3.1.18 de SiYuan Note présente une faille permettant à un attaquant distant de supprimer n'importe quel fichier sur le serveur. Cette action peut être exécutée via le réseau sans nécessiter d'interaction de l'utilisateur ni d'authentification. L'attaque étant simple et ne requérant aucun privilège particulier, les utilisateurs doivent mettre à jour leur logiciel vers la version 3.1.19 immédiatement.

CVSS 4.08.7 ÉLEVÉE

Type de faiblesse

CWE-459 CWE-552

Publiée2025-01-03

Dernière modification2026-06-17

DÉTAIL DU VECTEUR CVSS

Vecteur d'attaqueRéseau

Complexité d'attaqueFaible

Prérequis d'attaqueAucun

Privilèges requisAucun

Interaction utilisateurAucune

Confidentialité (système vulnérable)Aucune

Intégrité (système vulnérable)Aucune

Disponibilité (système vulnérable)Élevée

Confidentialité (système subséquent)Aucune

Intégrité (système subséquent)Aucune

Disponibilité (système subséquent)Aucune

RÉFÉRENCES

Description officielle du NVD (en anglais)

SiYuan is self-hosted, open source personal knowledge management software. SiYuan Note version 3.1.18 has an arbitrary file deletion vulnerability. The vulnerability exists in the `POST /api/history/getDocHistoryContent` endpoint. An attacker can craft a payload to exploit this vulnerability, resulting in the deletion of arbitrary files on the server. Commit d9887aeec1b27073bec66299a9a4181dc42969f3 fixes this vulnerability and is expected to be available in version 3.1.19.