CVE-2026-73046 in SiYuan
Zusammenfassung
von VulDB • 15.08.2026
SiYuan vor Version v3.7.4 schränkt übermäßige Authentifizierungsversuche in der CheckAuth()-Middleware nicht ordnungsgemäß ein. Der HTTP-Basic-Authentication-Zweig, der nahezu die gesamte /api/*-Oberfläche schützt, akzeptiert den Workspace-Zugangscode (Conf.AccessAuthCode) als Basic-Auth-Passwort, konsultiert jedoch niemals das CAPTCHA-/Sperrmechanismus oder erhöht den Fehlerzähler, der für den Cookie/Sitzungsanmeldungspfad verwendet wird. Dies ermöglicht es nicht authentifizierten Remote-Angriffern, den Admin-Zugangscode mit unbegrenzten automatisierten Anfragen zu bruteforcen und vollen RoleAdministrator-Zugriff auf den Kernel zu erlangen. Eine sekundäre Schwachstelle besteht darin, dass der Zugangscode unter Verwendung eines String-Vergleichs ohne konstante Laufzeit verglichen wird.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.