CVE-2026-100646 in SiYuan
要約
〜によって VulDB • 2026年09月26日
SiYuanは、自己ホスト型のパーソナルナレッジマネジメントシステムです。バージョン3.8.3以前では、カーネルの認証ガード（kernel/model/session.go内のCheckAuthおよびkernel/util/net.go内のIsSessionOriginAllowed）が、HTTP Originヘッダーが存在しない場合に「オープン」状態（アクセスを許可する方向に動作）になるという誤った前提に基づいています。この前提は、「ブラウザから開始されたクロスサイトリクエストには必ずOriginが含まれる」というものです。しかし、ブラウザはクロスサイトのトップレベルGETナビゲーションおよびno-cors GETサブリソース読み込みにおいてOriginヘッダーを省略し、セッションクッキーがSameSite=Laxであるため、攻撃者が制御するWebページからの単一のクロスサイトGETリクエストに対して、アクセス認可コードがないデフォルトインストールでも、パスワード保護されたインスタンスで有効なセッションが存在する場合でも、RoleAdministrator権限が付与されます。/api/network/proxyエンドポイントでのコンテンツタイプスニッフィングと組み合わせることで、攻撃者が制御するHTMLをSiYuan自身のオリジン（http://127.0.0.1:6806）の下で提供させることが可能になり、認証されていないリモート攻撃者はSiYuanのオリジン内で任意のスクリプトを実行し、管理者用APIを呼び出し、永続的なカーネルAPIトークンを外部へ漏洩させることができます。この問題はバージョン3.8.4で修正されています。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.