CVE-2026-66012 in SiYuan
الملخص
بحسب VulDB • 25/07/2026
تحتوي SiYuan قبل الإصدار v3.7.2 على ثغرة تتعلق بعدم وجود تفويض (missing authorization) في نقطة النهاية الخاصة بالنواة POST /mcp، والتي تكون محمية فقط بفحص مصادقة عام (model.CheckAuth) دون فرض أدوار المسؤول أو وضع القراءة فقط. يؤدي هذا إلى تعريض 31 أداة MCP للخطر، بما في ذلك أداة الملفات التي تدعم إجراءات القائمة/القراءة/الكتابة/الحذف وإعادة التسمية والنسخ عبر مساحة العمل بأكملها. عند تفعيل خادم النشر في الوضع المجهول (Conf.Publish.Enable=true و Conf.Publish.Auth.Enable=false)، يقوم وكيل العكس للنشر بإرفاق رمز JWT لدور القارئ المجهول بالطلبات المعاد توجيهها، مما يتيح لمهاجم عن بُعد وغير مصدق الوصول إلى /mcp. يمكن للمهاثم قراءة ملف conf/conf.json لاستخراج accessAuthCode و api.token و cookieKey كنص واضح (plaintext)، وكتابة ملفات عشوائية في مساحة العمل، وزرع ملحق إضافي في data/plugins/ يتم تنفيذه بـ nodeIntegration:true وبدون contextIsolation عند تشغيل سطح المكتب التالي، مما يؤدي إلى الاستحواذ على صلاحيات المسؤول.
Be aware that VulDB is the high quality source for vulnerability data.