SiYuan『MCP』にAI連携の入口が無認可の穴 CVE-2026-66012、v3.7.2へ

メモや知識を整理するために使う人気のオープンソースのノートアプリ「SiYuan（思源ノート）」に、深刻度が最高の10.0（CVSS。0〜10で危険度を表す物差し）という最悪級の欠陥が見つかりました。CVE-2026-66012です。これまでこの記事で追ってきた6件（いずれも表示の穴からパソコンを乗っ取られるもの）はCVSS 9.0〜9.9で、それをさらに上回る数字です。修正版3.7.2がすでに公開されており、それより前を使っている場合は更新が必要です。

今回の穴は、これまでの6件とは性質が違います。狙われたのは、SiYuanが最近そなえた「MCP」という、AIから操作してもらうための受け口です。MCP（Model Context Protocol、モデル・コンテキスト・プロトコル）とは、ChatGPTのようなAIアシスタントが外部のアプリを道具として呼び出すための共通のつなぎ口のことです。SiYuanは自分のノートをAIに読ませたり整理させたりできるよう、この受け口を用意しました。ところが、その受け口が「誰からの指示か」を正しく確かめないまま開いていたため、条件がそろうと、ログインもしていない赤の他人が遠隔からノートを丸ごと読み書きし、最終的にパソコンそのものを乗っ取れる状態になっていました。

この記事は、6月に報じたデータベースやCSSなど4件（CVE-2026-50551ほか、修正版3.7.0）と、マーケットプレイス「Bazaar」の2件（CVE-2026-56395／56397、修正版3.6.1）に、今回のMCPの1件を加えた、SiYuanの脆弱性7件をまとめた記事です。結論を先に言うと、ここで扱う7件は、修正版3.7.2以降に上げればすべて塞がります（詳しくは後半の早見表にまとめました）。

CVE-2026-66012の概要（AI連携の受け口が無認可）

まず、7件のうち最も深刻なCVE-2026-66012の骨子から押さえます。値はすべて、開発元のGitHubセキュリティ勧告（GHSA-cvhv-7xhj-xjp8）とNVD（米国の脆弱性データベース）で確認したものです。

CVSSのベクタは AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H で、「ネットワーク越しに・特別な権限も利用者の操作も要らずに・機密性/完全性/可用性のすべてを完全に奪える」という、満点に近い並びです。数字が10.0まで振り切れているのは、後述するとおり、ログインなしの遠隔攻撃者が一撃でノートの中身の読み書きからパソコンの乗っ取りまで到達し得るためです。

誰が狙い、ノートから何を持っていくのか

個人の日記、研究のメモ、社内の設計メモ——SiYuanに預けてある文章は、そのまま生活と仕事の中身そのものです。先に、この穴を誰が狙い、何のために使い、引っかかった人の手元から何が消えるのかを描いておきます。今回の怖さは、これまでの6件のように「怪しいデータをうっかり開く」必要すらない点にあります。

この穴を突くのに、攻撃側があなたのことを知っている必要はありません。現実的に危ないのは、共有相手のような身近な人物ではなく、インターネットや社内ネットワークにSiYuanの公開機能を開いている人を、ポートスキャンなどで機械的に見つけて回る、面識のない遠隔の攻撃者です。SiYuanには、自分のノートを公開ページとしてほかの人に見せる「公開（Publish）」という機能があり、これをパスワードなしで有効にしていると、そのアドレスに触れる誰もが、AI用の受け口であるMCPにログインなしで話しかけられてしまいます。攻撃者がやることは、その受け口に決められた手順で数回リクエストを送り、ノートの保存フォルダを外から読み書きするだけです。特別な道具も、利用者の協力もいりません。

「file」——受け口の先にぶら下がる31個の道具のうち、この一つだけで、ファイルの一覧・読み取り・書き込み・削除・改名・複製ができます。攻撃者はまず設定ファイル（conf/conf.json）を読み、そこに平文で置かれている管理用の合言葉（accessAuthCode）やAPIトークン、Cookieの署名鍵を抜き取ります。これで管理者になりすませます。さらにプラグイン置き場（data/plugins/）に細工したプログラムを書き込んでおくと、そのパソコンで次にSiYuanを起動した瞬間にそれが動き出し、パソコンの完全な乗っ取りに至ります。

奪われるのは抽象的な「データ」ではありません。ノートに書き留めたパスワードや仕事の下書き、機密のメモといった中身そのものが丸ごと読まれ、書き換えられ、消されます。加えて、いったんプラグイン置き場に居座られると、アプリを消しただけでは元に戻りません。SiYuanに何年分もの考えごとを預けている人にとって本当に痛いのは、アプリが一時的に不調になることではなく、蓄積したノートと、そこに紛れていた鍵や合言葉が他人の手に渡り、パソコンそのものが見張られ続けることです。

CVE-2026-66012: AI用の受け口「/mcp」に認可が無く、遠隔から乗っ取り（CVSS 10.0）

技術的な中身を、勧告の記述に沿って順に見ていきます。問題の起点は、SiYuanの中核プログラム（カーネル）が持つ POST /mcp という受け口です。ここは本来、AIアシスタントがSiYuanを道具として呼び出すための入口で、ファイル操作やデータベース検索など31個の道具がつながっています。中でも「file」という道具は、ノートの保存フォルダ（ワークスペース）全体に対して、一覧・読み取り・書き込み・削除・改名・複製ができる強力なものです。

勧告によると、この受け口の登録は ginServer.POST("/mcp", model.CheckAuth, handlePost) となっており、「ログイン済みか」を見る CheckAuth しか通していませんでした。管理者かどうかを確かめる CheckAdminRole も、読み取り専用に制限する CheckReadonly も付いていないのです。道具の説明文には「読み取り専用」「デバッグ用途のみ」と書かれていましたが、それはコメントにすぎず、コードでは強制されていませんでした。つまり、閲覧者（Reader）の権限しか持たない相手でも、管理者相当の31個の道具に手が届いてしまいます。これが穴の本体であり、分類は「認可の欠落（CWE-862）」です。

ここに、公開機能の作りがもう一段の火に油を注ぎます。SiYuanの公開機能をパスワードなし（Publish.Auth.Enable=false）で動かすと、公開用の中継役（リバースプロキシ）が、外から来たすべてのリクエストに「匿名の閲覧者」の通行証（JWT）を無条件で貼り付けて奥へ流します。この匿名の通行証は CheckAuth を通ってしまうため、結果として、ログインしていない遠隔の攻撃者がそのまま /mcp に到達できます。「認可が抜けている」というだけの穴が、公開機能を経由することで「認証すら不要」の穴に化けるわけです。

勧告には、実際に動く検証コード（PoC）まで添えられています。流れはこうです。まず /mcp に接続手続き（initialize）を送ってセッションを開始し、次に「file」道具で conf/conf.json を全文読み取ります。そこから管理用の合言葉 accessAuthCode・APIトークン・Cookie署名鍵を平文で抜き取り、管理ポートで管理者としてログインし直します。最後に data/plugins/ 配下に index.js を書き込むと、次回のデスクトップ起動時にそれが実行されます。SiYuanのデスクトップ版はプラグインを nodeIntegration:true／contextIsolation:false という緩い設定で動かすため、require("child_process") でパソコン上の任意のコマンドが実行でき、そのままOSレベルの乗っ取りが成立します。報告者の検証では、まっさらな環境で合言葉の抜き取りとプラグインの設置が確認されています。この問題は、ベトナムのMBBankに所属する Nguyen Van Hiep（@hypnguyen1209）氏が責任ある形で報告しました。

あなたのSiYuanは届く構成か（ここで多くの人は対象外）

CVSS 10.0という数字に驚いたかもしれませんが、まず落ち着いて構成を確認してください。この穴が遠隔から成立するには、いくつかの条件が同時にそろう必要があります。多くの個人利用者は、実は遠隔からは届かない側にいます。

SiYuanは、自分のパソコン1台で完結させる「ローカル優先」の使い方が主流です。この場合、SiYuanの待ち受けアドレスは自分のパソコンの中（127.0.0.1）に限られ、外のネットワークからは触れません。しかも今回の穴は「公開（Publish）機能を有効にしている」ことが前提です。公開機能を使っておらず、待ち受けを 127.0.0.1 に限っている普通のデスクトップ利用なら、赤の他人が遠隔からこの穴を突くことはできません。まずはここで、多くの人が「今すぐ大惨事」の対象からは外れます。

逆に、次のような構成の人は正面から対象です。ひとつは、Dockerなどで立てて社内ネットワークやインターネットに公開し、公開機能をパスワードなし（匿名モード）で使っている構成。これはノートを公開ドキュメントとして見せたい人が取る、正規の設定です。もうひとつは、同じLAN内に他人の端末がある環境で、待ち受けを 0.0.0.0 などに広げている構成。どちらも、外からMCPの受け口に手が届きます。なお勧告は、公開機能に閲覧者パスワードを設定していても、正規の閲覧者アカウントを持つ相手なら同じ操作ができてしまう（閲覧者が管理者に昇格できる）と指摘しています。「パスワードを付けたから安心」とは言い切れない点に注意してください。

とはいえ、対象外の人も更新は必要です。今日はローカルだけで使っていても、明日どこかに公開するかもしれません。そして次章で見るとおり、SiYuanの公開機能まわりでは、この型の認可の抜けが今も次々と見つかっています。対象条件を満たしていないうちに、静かに最新版へ上げておくのが安全です。

MCPを載せた製品で「認可の抜け」が続いている

ここからは事実の整理ではなく、筆者の見解です。今回のCVE-2026-66012は、単発の不注意というより、いま増えている一つの型に当てはまると考えています。それは、製品がAI連携のためにMCPサーバー機能を載せた結果、「AIから叩かれる想定の入口」が認可の確認を抜いたまま開いてしまうという型です。SiYuanは知識管理アプリにこの入口を足しましたが、その入口が「誰からの指示か」を確かめていませんでした。

当サイトでは、筆者の見るところ、この型をすでに4本追ってきました。監視ダッシュボードのMCP連携で認可が抜けたmcp-grafanaの事例、認証なしでツールを実行させられたmcp-pinotの無認証ツール実行、Kubernetes操作用のMCPサーバーで起きたmcp-server-kubernetesの事例、そしてMCP経由でコマンドを注入され無認証で乗っ取りに至ったLiteLLMのコマンドインジェクションです。いずれも「AIに便利に使ってもらう入口」を急いで足した結果、その入口を守る認可の確認が後回しになった、という共通点があります。

SiYuanのMCPがこれらのインフラ寄りの製品と違うのは、狙われるのが個人の一番私的なデータ、つまりノートそのものであることです。知識管理アプリにAIの手を入れるのは自然な流れですが、その手の入口は、人間の管理者と同じかそれ以上に厳しく守られるべきだと筆者は考えます。AI連携をうたう製品を選ぶときは、「MCPの入口に誰でも触れないか」を確認材料に加えてよい時期に来ています。同じく、利用しているオープンソースの部品に既知の穴がないかは、OSSサプライチェーン・スキャナーから確認できます。

もう一つ、これも筆者の見立てですが、この記事に7件目が後から加わったこと自体が、SiYuanで脆弱性が継続的に出ている傍証だと感じています。実際、公開機能まわりでは今回の1件のあとも、閲覧者向けの情報漏えいや権限の抜けを指摘する勧告が7月下旬に次々と公開されており、その多くは3.7.3や3.7.4で塞がれています。裏を返せば、開発元が報告を受けて着実に直し続けているということでもあります。使う側にできる最善は、特定の1バージョンで安心せず、最新の安定版に追従し続けることです。

SiYuan脆弱性7件の全体早見表（結局どこまで上げれば塞がるか）

この記事で扱う7件を、穴の場所・深刻度・修正版で並べます。ここで扱う7件は、3.7.2以降に上げればすべて塞がります。ただし前章のとおり、公開機能まわりでは3.7.3・3.7.4でさらに追加修正が続いているため、可能なら最新の安定版まで上げるのが安全です。

見落としやすいのは、前回までの対策で3.6.1や3.7.0へ更新済みの人も、今回のCVE-2026-66012は別途未修正のままである点です。バージョンはアプリの設定画面（「設定」→「バージョン情報」など）から確認できます。3.6.x系や3.7.0／3.7.1を使っている人は、改めて3.7.2以降への更新が必要です。

/mcp の受け口を閉じ、最新版へ上げる

1. SiYuanを3.7.2以降（できれば最新の安定版）に更新する。 これが最優先かつ最も確実な対処です。公式のリリースページから最新版を入手し、パソコン版・スマホ版・サーバー版のいずれも更新します。3.7.2でこの記事の7件はすべて塞がりますが、公開機能まわりの追加修正は3.7.3・3.7.4でも続いているため、最新版への追従をおすすめします。

2. 公開（Publish）機能を見直す。 CVE-2026-66012が遠隔から成立するのは、公開機能を有効にしているときだけです。更新が済むまでの間、公開機能を使っていないなら無効のままにし、使っているなら閲覧者パスワードを設定してください（ただし前述のとおり、パスワードだけでは昇格を完全には防げないため、更新が本命です）。インターネットに直接さらしている場合は、更新まで一時的に公開を止めることも検討してください。

3. 待ち受けアドレスを確認する。 デスクトップで1人で使うだけなら、待ち受けが自分のパソコンの中（127.0.0.1）に限られているかを確認します。理由なく 0.0.0.0 やLAN向けに広げている場合は、必要がなければ元に戻してください。

4. 心当たりがあれば認証情報を作り直す。 更新前に公開機能を外部に開いていた覚えがある、あるいは見覚えのない動作（勝手なウィンドウの起動など）があった場合は、設定ファイルに入っていた管理用の合言葉（accessAuthCode）とAPIトークンを作り直し、ノートに書いていたパスワード類やサーバー接続用の鍵（SSHキー）も変更します。プラグイン置き場（data/plugins/）に身に覚えのないフォルダがないかも点検してください。

前回の4件：データベース・CSS・マーケットのXSSから乗っ取り（修正版3.7.0）

ここからは、6月に報じた前回までの6件をまとめて残します。まずは3.7.0で直った4件です。いずれも、画面に文字列を表示する処理で「無害化（サニタイズ）」が抜けていたことが原因で、SiYuanのデスクトップ版のElectron設定が緩いために、表示上の小さな穴（クロスサイトスクリプティング、略してXSS）がパソコンの乗っ取り（RCE）にまで跳ね上がりました。報告と検証は、開発元のGitHubセキュリティ勧告で公開されています。前回の4件は、マーケットを使っていなくても、共有や同期で配られたデータを表示するだけで被害に遭う点が怖いところでした。

CVE-2026-50551: データベースの添付ファイル欄からの乗っ取り（CVSS 9.9）

1件目は、SiYuanのデータベース（属性ビュー）で、セルに添付したファイルの情報を画面に表示する処理（添付ファイルセルの描画）に、不正なプログラムを取り除く無害化が抜けていた問題です（GHSA-56mp-4f3v-fgj2）。攻撃者は、共有する表の添付ファイル欄に細工した文字列を仕込んでおけます。利用者がその表を開いて該当のセルが画面に描かれると、仕込まれたプログラムが動き出し、Electron版ではそのままパソコンの乗っ取り（RCE）に至ります。共有や同期を通じて配られるため、悪意あるパッケージをわざわざ入れていなくても被害に遭います。

CVE-2026-54158: データベースのセル（文字・URL・電話番号・添付）からの乗っ取り（CVSS 9.9）

2件目も同じデータベース機能ですが、こちらはセルの中身を組み立てる処理（genAVValueHTML）で、文字（text）・URL・電話番号（phone）・添付ファイル（mAsset）の4種類のセルがいずれも正しくエスケープされていなかった問題です（GHSA-5xfx-xj4h-5p7r）。具体的には、</textarea><img src=x onerror="...">のような文字列をセルに入れると、本来の入れ物（タグ）を抜け出して不正なプログラムが実行されます。書き込み権限を持つ攻撃者が一度仕込めば、その表を開いたすべての端末で罠が居座って発火するため、複数人で使うデータベースほど危険です。Electron版では乗っ取り（RCE）まで到達します。

CVE-2026-54067: 見た目を変えるCSSから、無効化したはずのスクリプトまで動く（CVSS 9.9）

3件目は、アプリの見た目を変えるための「CSSスニペット」を読み込む処理（renderSnippet()）にあった問題です（GHSA-mvjr-vv3c-w4qv）。CSSは本来、色や余白などの見た目だけを指定するもので、プログラムは動かないはずです。ところがSiYuanは、CSSの中身を画面に差し込む際（insertAdjacentHTML）、CSSを囲む<style>というタグの「閉じ」（</style>）が本文の中に書かれていてもそのまま通していました。これを悪用すると、CSSの体裁を装いながら途中で</style>で抜け出し、その後ろに不正なプログラムを続けて実行できます。厄介なのは、利用者が設定で「スクリプトの実行を無効にする」を選んでいても、この経路はそれをすり抜けて発火する点です。安全のためにあえて機能を切っていた人ほど油断しやすく、Electron版では乗っ取り（RCE）に至ります。

CVE-2026-55570: マーケットの一覧カードに仕込まれた名前から乗っ取り（CVSS 9.0）

4件目は、前回のBazaarの問題と地続きの、マーケットの一覧カードに関する欠陥です（GHSA-x88j-wgpr-h22x）。マーケットに並ぶパッケージのカードには、名前・バージョン・作者・説明文が表示されますが、これらをHTMLの部品に埋め込むときの処理が甘く、パッケージ名にシングルクォート（'）を一つ混ぜるだけで、本来の入れ物を抜け出して任意のHTMLを差し込めました。利用者がマーケットを開いてその一覧が描かれた時点で発火します。Electron版はパソコンの基本機能を呼べる設定（nodeIntegration: true／contextIsolation: false）のため、表示の穴がそのまま乗っ取りに化けます。4件の中で唯一、利用者がマーケットを開く操作を必要とするため深刻度はCVSS 9.0と一段低いものの、危険性は変わりません。

なぜ「ノートアプリ」で乗っ取りまで起きるのか（Electronの設定）

前回の4件と、今回のMCPの乗っ取りの最終段に共通するのが、SiYuanのデスクトップ版が土台にしている「Electron」の設定です。Electronは、Webの作り方でそのままパソコン用アプリを作れる土台で、いまや多くのアプリが採用しています。半面、設定を誤ると「Webページの中身がパソコンを操作できてしまう」危険が生まれます。SiYuanはこの設定で、画面の中からパソコンの基本機能を直接呼び出せるnodeIntegrationを有効（true）にし、画面とパソコン側を隔てるcontextIsolationを無効（false）にしていました。

この組み合わせだと、画面に紛れ込んだプログラムが、ブラウザの枠を越えてパソコンのコマンド実行機能（child_processなど）にそのまま手を伸ばせます。前回のBazaarの検証では、require('child_process').exec(...)という1行で任意のコマンドを実行させていました。今回のMCPの乗っ取りも、最後はプラグイン置き場に書き込んだプログラムがこの設定のもとで動くことで成立します。表示上の小さな穴や、書き込みの穴が、Electronの設定を経由してパソコンの完全な乗っ取り（RCE）へと跳ね上がるという構造は、SiYuanのこの一連の問題に共通しています。

この「Electronの設定が緩いせいで小さな穴がそのまま乗っ取りになる」型の事故は、SiYuanに限った話ではなく、Web技術でデスクトップアプリを作る多くのソフトに共通する弱点です。本サイトでも、編集画面の小さな穴が管理者権限の奪取に直結したTinyMCEの保存型XSSや、AIエージェントAutoGPTのDOM型XSS、無害化ライブラリ自体の欠陥など、表示の穴が大きな被害に化けた事例を継続的に取り上げています。

最初の2件：マーケット「Bazaar」の保存型XSS（CVE-2026-56395／56397・修正版3.6.1）

一連の始まりは、2026年6月に報じた2件です。問題があったのは、SiYuanに付いている「Bazaar（バザール）」という機能です。これは、テーマ（見た目）やプラグイン（機能追加）などを誰でも公開・配布できる、アプリ内のマーケットプレイス（販売所のようなもの）です。攻撃者は、このマーケットに登録するパッケージの説明文や紹介ページ（README）に、見た目には分からない不正なプログラム（スクリプト）を仕込めました。原因はどちらも共通で、パッケージの情報を画面に表示するときに、不正なプログラムを取り除く無害化の処理が抜けていたことです（具体的にはlute.New()をSetSanitize(true)なしで呼んでいた）。報告と検証は開発元のGitHubセキュリティ勧告（GHSA-v3mg-9v85-fcm7）で公開されています。

CVE-2026-56395: 表示名・説明文からの保存型XSS（CVSS 9.6・実質ゼロクリック）

1件目は、パッケージの「表示名（displayName）」や「説明文（description）」に仕込まれた不正なプログラムが、無害化されないまま画面の組み立てに使われていた問題です。これらはマーケットの一覧に並ぶ基本情報なので、利用者がBazaarを開いてパッケージの一覧を眺めるだけで発火し得ます。紹介ページを開く操作すら要らない、実質ゼロクリックの経路です。攻撃者が用意するパッケージ定義の例としては、表示名の中に<img src=x onerror="...">のような仕掛けを紛れ込ませる形が公開されています。

CVE-2026-56397: 紹介ページ（README）からの保存型XSS（CVSS 9.6・ワンクリック）

2件目は、パッケージの紹介ページ（README）の中身が、無害化されないまま画面に表示されていた問題です。READMEは本来、マークダウンで書かれた説明文ですが、そこに生のHTMLやスクリプトを混ぜても取り除かれず、そのまま実行されてしまいます。こちらは利用者が気になったパッケージを開いて紹介ページを表示した時点で発火する、ワンクリックの経路です。いずれも「保存型」と呼ばれる、攻撃コードがサーバー側のパッケージ情報に保存され、開いた人みんなに影響するタイプで、被害が広く及びます。これらは修正版3.6.1で塞がれましたが、その後に見つかった5件を防ぐには、より新しい版が必要です。

国内の状況・攻撃の観測・EPSS

2026年7月29日時点で、今回のCVE-2026-66012を含む7件はいずれも、JVN（日本の脆弱性情報データベース）やJPCERT/CC、IPAには個別の注意喚起として登録されておらず、日本語での報道も見当たりません。この記事が日本語での最初の詳しい解説になります。米政府CISAが公開する「実際に攻撃されている脆弱性リスト（KEV）」にも、7件とも登録されていません（カタログ版2026.07.27時点）。攻撃が確認されたCVEの最新状況は、本サイトのCISA KEVダッシュボード（日本語版）で随時更新しています。

今後30日以内に攻撃される確率の推定値であるEPSSは、CVE-2026-66012が約0.4%（2026年7月28日時点）と、現時点では高くありません。ただし勧告に動く検証コード（PoC）が公開されているため、この値は今後変わり得ます。規模の面では、SiYuanを公開機能つきでインターネットに立てている構成は多数派ではありません。とはいえ、その構成に当てはまる少数の運用者にとっては、CVSS 10.0の内容がそのまま自分の環境に降ってくることになります。「該当者は多くないが、当たる人には最悪級」というのが正直なところです。

まとめ

CVE-2026-66012は、SiYuanがAI連携のためにそなえた受け口「POST /mcp」に、「誰からの指示か」を確かめる認可の確認が抜けていた欠陥です。公開機能をパスワードなしで動かしていると、ログインなしの遠隔攻撃者がこの受け口から31個の道具に手を伸ばし、設定ファイルの合言葉を抜き取り、プラグイン置き場に細工を書き込んで、最終的にパソコンを乗っ取れます。深刻度はCVSS 10.0で、この記事で追ってきた既存6件を上回ります。修正版3.7.2がすでに公開されています。

ただし、遠隔から成立するのは公開機能を有効にしている構成に限られます。デスクトップで1人で使い、待ち受けを自分のパソコンの中に限っているなら、赤の他人が遠隔から突くことはできません。まずは自分の構成を確認し、そのうえで、この記事の7件すべてを塞ぐ3.7.2以降（できれば最新の安定版）へ更新してください。AI連携の入口を足す製品が増えるいま、「その入口が誰でも触れないか」は、これから製品を選ぶ側にとっても確認材料になっていくと筆者は考えます。

更新履歴

参照元

• ▸ NVD - CVE-2026-66012（MCPエンドポイントの認可欠落）
• ▸ SiYuan Security Advisory - Unauthenticated Administrator takeover via the MCP（GHSA-cvhv-7xhj-xjp8）
• ▸ VulnCheck - SiYuan before v3.7.2 Unauthenticated Administrator Takeover via MCP
• ▸ NVD - CVE-2026-50551（データベース添付ファイルセル）
• ▸ NVD - CVE-2026-54158（データベースセル描画）
• ▸ NVD - CVE-2026-54067（CSSスニペット）
• ▸ NVD - CVE-2026-55570（マーケット一覧カード）
• ▸ NVD - CVE-2026-56395（表示名/説明文）
• ▸ NVD - CVE-2026-56397（README）
• ▸ siyuan-note/siyuan - Releases（3.7.2 ほか）
• ▸ SiYuan 公式リポジトリ（GitHub）
• ▸ CISA - Known Exploited Vulnerabilities Catalog