무슨 일이 있었나
SiYuan의 validateAssetUploadPaths는 불완전한 민감 경로 블랙리스트 (GHSA-p23f-cm6q-2qp8의 불완전한 수정)에 의존하며, 이는 .env 및 기타 비밀 파일을 포함하지 않습니다. 에이전트가 접근하는 MCP 자산 업로드 액션을 구동하는 공격자는 호스트 사용자의 ~/.env와 같은 로컬 파일을 작업공간의 data/assets 디렉토리로 복사할 수 있으며, 서버는 그 파일을 HTTP (GET /assets/<name>)로 다시 제공하여 MCP 도구를 로컬 파일 읽기 오라클로 변환합니다.
왜 중요한가
이 체인은 파일시스템 접근 없이 완전히 에이전트적으로 도달 가능합니다: SiYuan의 MCP 서버와 통신하는 에이전트를 조종할 수 있는 공격자는 홈 디렉토리의 비밀 (.env, .env.local, ~/Library/** Keychain, Windows AppData)을 읽고 작업공간 HTTP 경로를 통해 유출시킬 수 있습니다 (CWE-22/CWE-200, CVSS 6.2).
공격 경로
/home/<user>/.env와 같은 절대 경로로 MCP 자산 업로드 액션을 구동합니다; 서버가 이를 작업공간으로 복사하고 인증된 HTTP로 다시 제공합니다.
영향받는 시스템
SiYuan 3.8.7 이전 버전 (MCP 자산 업로드 도구).
완화 방안
SiYuan 3.8.7로 업그레이드하세요; 올바른 수정은 읽기 시점에 거부하고 운영자가 허용한 작업공간 루트 아래의 경로만 허용하는 것이며, 이름 블랙리스트를 확장하는 것이 아닙니다.