Apa yang terjadi
validateAssetUploadPaths SiYuan bergantung pada daftar hitam jalur sensitif yang tidak lengkap (perbaikan tidak lengkap dari GHSA-p23f-cm6q-2qp8) yang menghilangkan .env dan file lain yang mengandung rahasia. Penyerang yang menggerakkan aksi unggah aset MCP yang berhadapan dengan agen dapat menyalin file lokal seperti ~/.env milik pengguna host ke direktori data/assets workspace; server kemudian menyajikan file tersebut kembali melalui HTTP (GET /assets/<nama>), mengubah alat MCP menjadi oracle pembacaan file lokal.
Mengapa penting
Rantai ini sepenuhnya dapat dijangkau secara agen tanpa memerlukan akses filesystem: penyerang yang dapat mengarahkan agen yang berbicara ke server MCP SiYuan dapat membaca rahasia direktori home (.env, .env.local, ~/Library/** Keychain, Windows AppData) dari host dan mengeksfiltrasinya melalui rute HTTP workspace (CWE-22/CWE-200, CVSS 6.2).
Vektor serangan
Dorong aksi unggah aset MCP dengan jalur absolut seperti /home/<user>/.env; server menyalinnya ke workspace dan menyajikannya kembali melalui HTTP yang diautentikasi.
Sistem yang terdampak
SiYuan sebelum 3.8.7 (alat unggah aset MCP).
Mitigasi
Tingkatkan ke SiYuan 3.8.7; perbaikan yang tepat adalah menolak pada waktu pembacaan dan hanya menerima jalur di bawah root workspace yang diberikan operator daripada memperluas daftar hitam nama.