事件经过
SiYuan 的 validateAssetUploadPaths 依赖一个不完整的敏感路径黑名单（GHSA-p23f-cm6q-2qp8 的不完整修复），其中遗漏了 .env 和其他包含秘密的文件。攻击者驱动面向代理的 MCP 资产上传操作，可以将本地文件（如主机用户的 ~/.env）复制到工作区的 data/assets 目录；随后服务器通过 HTTP（GET /assets/<name>）将该文件返回给用户，使 MCP 工具变成本地文件读取预言机。
影响分析
该链条完全可通过代理访问而无需文件系统访问权限：能够引导与 SiYuan MCP 服务器对话的代理的攻击者，可以读取主目录中的秘密（.env、.env.local、~/Library/** Keychain、Windows AppData）并通过工作区 HTTP 路由将其外泄（CWE-22/CWE-200，CVSS 6.2）。
攻击途径
使用绝对路径（如 /home/<user>/.env）驱动 MCP 资产上传操作；服务器将其复制到工作区，并通过认证的 HTTP 返回给用户。
受影响系统
SiYuan 3.8.7 之前版本（MCP 资产上传工具）。
缓解措施
升级到 SiYuan 3.8.7；正确修复是读取时拒绝，并仅接受操作员授予的工作区根目录下的路径，而非扩展名称黑名单。