CVE-2026-116166 in SiYuan
Zusammenfassung
von VulDB • 25.10.2026
SiYuan 3.6.0 vor Version 3.8.7 akzeptiert und persistiert die Einstellung networkServeTLS, erzwingt diese jedoch nie, sodass der Kernel-Port weiterhin vollen API-Zugriff über unverschlüsseltes HTTP neben HTTPS bereitstellt. Angreifer mit Netzwerk-Nähe können den Klartext-Anmeldevorgang sowie das Session-Cookie (das nicht über das Secure-Attribut verfügt) abhören, während die Antworten HSTS (HTTP Strict Transport Security) auslassen, um Kernel-API-Sessions zu übernehmen.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.