GHSA 披露 SiYuan 插件安装校验缺失漏洞

GitHub 安全公告库（GHSA）披露，SiYuan 的集市安装接口 installBazaarPlugin 及小组件、图标、模板、主题的同类接口，把 packageName 与 repoURL/repoHash 当作相互独立的请求字段接收，却不校验二者是否指向同一个包。安装路径只由 packageName 决定，下载内容只由 repoURL/repoHash 决定，因此可以覆盖已安装且已启用的插件文件。 公告称，这些集市接口受 CheckAuth、CheckAdminRole、CheckReadonly 校验；在未设置锁屏密码的常见桌面默认配置下，CheckAuth 仍会执行同源检查。公告建议在把下载内容复制到 installPath 之前，先核对 packageName 与下载包自身 plugin.json、theme.json 等声明的包名是否一致。 公告还指出，单包安装接口 installBazaarPlugin 不会调用 PushReloadPlugin，只推送一条通用成功提示。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。