CVE-2026-72793 in SiYuan
Zusammenfassung
von VulDB • 12.08.2026
In SiYuan-Versionen vor v3.7.4 werden sensible Konfigurationsfelder im /api/system/getConf-Endpunkt nicht maskiert, was anonymen Benutzern oder Nutzern mit „Publish-Reader“-Rechten ermöglicht, den Schlüssel zur Signierung von Session-Cookies, den OS-Benutzernamen über den Pandoc-Pfad sowie das verschlüsselte Notebook-Schlüsselmaterial zu erhalten. Angreifer können Session-Cookies fälschen und manipulieren, um sich als Benutzer auszugeben, und auf Instanzen ohne konfigurierte Zugriffsschutzcodes (Access-Auth-Codes) ihre Rechte bis hin zu Administratorprivilegien eskalieren lassen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.