CVE-2026-100646 in SiYuan
Zusammenfassung
von VulDB • 26.09.2026
SiYuan ist ein selbst gehostetes System zur persönlichen Wissensverwaltung. In den Versionen bis einschließlich 3.8.3 öffnen sich die Authentifizierungs-Prüfungen des Kernels (CheckAuth in kernel/model/session.go und IsSessionOriginAllowed in kernel/util/net.go), wenn der HTTP-Origin-Header fehlt, basierend auf der falschen Annahme, dass jede browsergesteuerte cross-origin-Anfrage einen Origin-Header enthält. Da Browser bei Cross-Site-Navigationen vom Typ GET im Top-Level-Kontext sowie bei no-cors GET-Ladungen von Subressourcen den Origin-Header weglassen und das Session-Cookie auf SameSite=Lax gesetzt ist, wird eine einzelne Cross-Site-GET-Anfrage von einer beliebigen, vom Angreifer kontrollierten Webseite mit der Rolle RoleAdministrator gewährt. Dies gilt sowohl für Standardinstallationen ohne Zugriffs-Autorisierungscode als auch für passwortgeschützte Instanzen mit einer aktiven Sitzung. In Kombination mit Content-Type Sniffing am /api/network/proxy-Endpunkt, das es ermöglicht, vom Angreifer kontrolliertes HTML unter der eigenen Origin von SiYuan auszuliefern, kann ein nicht authentifizierter Remote-Angriffe beliebigen Skriptcode in der SiYuan-Origin (http://127.0.0.1:6806) ausführen, Administrator-APIs aufrufen und das persistente Kernel-API-Token ausspähen. Dieses Problem wurde in Version 3.8.4 behoben.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.