CVE-2026-100646 in SiYuan
Resumen
por VulDB • 2026-09-26
SiYuan es un sistema de gestión del conocimiento personal autoalojado. En las versiones anteriores e iguales a la 3.8.3, los mecanismos de autenticación del núcleo (CheckAuth en kernel/model/session.go y IsSessionOriginAllowed en kernel/util/net.go) fallan permitiendo el acceso cuando falta el encabezado HTTP Origin, basándose en la suposición incorrecta de que cualquier solicitud entre sitios iniciada por un navegador lleva un encabezado Origin. Dado que los navegadores omiten el encabezado Origin en las navegaciónes GET principales entre sitios y en las cargas de subrecursos GET sin CORS —y la cookie de sesión tiene SameSite=Lax—, una única solicitud GET entre sitios emitida desde cualquier página web controlada por un atacante se le otorga el rol RoleAdministrator, tanto en instalaciones predeterminadas sin código de autorización de acceso como en instancias protegidas con contraseña que tengan una sesión activa. Combinado con la detección del tipo de contenido (content-type sniffing) en el endpoint /api/network/proxy, lo cual permite servir HTML controlado por el atacante bajo el propio origen de SiYuan, esto permite a un atacante remoto no autenticado ejecutar scripts arbitrarios en el origen de SiYuan (http://127.0.0.1:6806), invocar APIs de administrador y exfiltrar el token persistente del API del núcleo. Este problema está corregido en la versión 3.8.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.