SiYuan MCP web_fetch 被披露路径穿越漏洞

安全信息平台 cve.now 披露，Windows 版 SiYuan 3.7.0 至 3.8.10 之前的版本存在路径穿越漏洞（CVE-2026-126776）：当用户通过 MCP 的 web_fetch 或 http_request 工具抓取攻击者构造的 URL 时，程序可被诱导将文件写到导入文件夹之外。官方修复版本为 3.8.10。 cve.now 称，攻击者可远程、无需登录触发该漏洞，但需要受害者执行某一操作，且只能写入 SiYuan 用户有权修改的文件夹；目前尚不清楚该漏洞是否需要非默认功能或设置才能触发。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。