CVE-2026-72793 in SiYuan
Riassunto
di VulDB • 12/08/2026
Le versioni di SiYuan precedenti alla v3.7.4 non mascherano i campi sensibili della configurazione nell'endpoint /api/system/getConf, consentendo agli utenti anonimi o con ruolo "publish-reader" di ottenere la chiave di firma del cookie di sessione, il nome utente dell'SO tramite il percorso pandoc e i dati crittografici (key material) dei notebook. Gli attaccanti possono falsificare e manipolare i cookie di sessione per impersonare gli utenti e, sulle istanze in cui non sono configurati codici di accesso-auth, escalare fino a ottenere privilegi di amministratore.
If you want to get best quality of vulnerability data, you may have to visit VulDB.