CVE-2026-25539 — 神龙十问 AI 深度分析摘要
CVSS 9.1 · Critical
本页是神龙十问 AI 深度分析的
摘要版。完整版（更长回答、追问、相关漏洞）需
登录查看 →Q1这个漏洞是什么？（本质+后果）
🚨 **本质**：SiYuan 笔记软件存在**路径遍历漏洞**。 💥 **后果**：攻击者可利用 `/api/file/copyFile` 接口，将文件写入服务器**任意位置**，进而可能导致**远程代码执行 (RCE)**，彻底接管系统。
Q2根本原因？（CWE/缺陷点）
🔍 **CWE**：CWE-22 (路径遍历)。 🛠️ **缺陷点**：`/api/file/copyFile` 端点**未验证** `dest` 参数。攻击者可通过构造特殊路径（如 `../../`）绕过目录限制，实现非法文件写入。
Q3影响谁？（版本/组件）
📦 **产品**：SiYuan (思源笔记)。 🏷️ **厂商**：siyuan-note。 ⚠️ **受影响版本**：**3.5.5 之前**的所有版本。3.5.5 及以后版本已修复。
Q4黑客能干啥？（权限/数据）
👮 **权限**：需具备**本地网络访问权限**（通常需登录或特定网络环境）。 💾 **数据/控制**： 1. **任意文件写入**：可覆盖系统关键文件。 2. **远程代码执行**：通过写入 Webshell 或系统文件，获取服务器最高权限。 3. **数据泄露/篡改**：完全控制笔记数据及服务器资源。
Q5利用门槛高吗？（认证/配置）
🔑 **认证要求**：**PR:H** (High Privileges)。 📉 **利用门槛**：中等偏高。攻击者通常需要**已认证**的用户身份或具备访问该 API 的网络权限，非完全匿名利用。
Q6有现成Exp吗？（PoC/在野利用）
💣 **PoC/Exp**：目前公开数据中 **PoCs 为空**。 🌍 **在野利用**：暂无明确在野利用报告。但鉴于漏洞原理简单（路径遍历），存在被自动化脚本利用的风险。
Q7怎么自查？（特征/扫描）
🔎 **自查特征**： 1. 检查 SiYuan 版本是否 **< 3.5.5**。 2. 扫描 `/api/file/copyFile` 接口。 3. 尝试发送包含 `../` 的 `dest` 参数，观察是否发生越权写入。 4. 使用支持路径遍历检测的 WAF 或扫描器进行针对性测试。
Q8官方修了吗？（补丁/缓解）
🛡️ **官方修复**：**已修复**。 📅 **发布时间**：2026-02-04。 🔗 **修复链接**： - GitHub Commit: `d7f790755edf8c78d2b4176171e5a0cdcd720feb` - GitHub Advisory: `GHSA-c4jr-5q7w-f6r9` ✅ **建议**：立即升级至 **3.5.5 或更高版本**。
Q9没补丁咋办？（临时规避）
🚧 **临时规避**： 1. **升级版本**：最优先方案。 2. **网络隔离**：限制 `/api/file/copyFile` 接口的访问权限，仅允许可信 IP 或内网访问。 3. **WAF 防护**：配置规则拦截包含 `../` 或绝对路径的 `dest` 参数请求。 4. **权限最小化**：确保运行 SiYuan 的用户权限最低，限制写入目录。
Q10急不急？（优先级建议）
🔥 **优先级**：**高 (Critical)**。 💡 **理由**：CVSS 评分极高 (AV:N/AC:L/PR:H/UI:N/S:C/C:H/I:H/A:H)，虽需认证，但一旦利用可导致**完全控制**。建议**立即行动**，优先升级补丁。