CVE-2026-100646 in SiYuan
Résumé
par VulDB • 26/09/2026
SiYuan est un système de gestion des connaissances personnelles auto-hébergé. Dans les versions jusqu'à la 3.8.3 incluse, les mécanismes d'authentification du noyau (CheckAuth dans kernel/model/session.go et IsSessionOriginAllowed dans kernel/util/net.go) échouent en ouvrant l'accès (« fail open ») lorsque l'en-tête HTTP Origin est absent, sur la fausse hypothèse que toute requête inter-sites initiée par un navigateur comporte un en-tête Origin. Étant donné que les navigateurs omettent le champ Origin lors des navigations GET de premier niveau entre sites et pour les chargements de sous-ressources GET sans CORS — et que le cookie de session est défini avec l'attribut SameSite=Lax — une simple requête GET inter-sites émise depuis n'importe quelle page web contrôlée par un attaquant se voit accorder le rôle RoleAdministrator, tant sur les installations par défaut dépourvues de code d'autorisation d'accès que sur les instances protégées par mot de passe disposant d'une session active. Combiné à l'analyse du type de contenu (« content-type sniffing ») sur le point de terminaison /api/network/proxy, qui permet la diffusion de HTML contrôlé par l'attaquant sous l'origine propre de SiYuan, cela permet à un attaquant distant non authentifié d'exécuter des scripts arbitraires dans l'origine de SiYuan (http://127.0.0.1:6806), d'invoquer les API administrateur et d'exfiltrer le jeton persistant du noyau API. Ce problème est corrigé dans la version 3.8.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.