CVE-2026-116166 in SiYuan
要約
〜によって VulDB • 2026年10月25日
SiYuan 3.6.0 から 3.8.7 より前のバージョンでは、networkServeTLS 設定が受け入れられ永続化されるものの、それが強制されないため、カーネルのポートは HTTPS と並行して平文 HTTP を介した完全な API アクセスを提供し続けています。ネットワークに隣接する攻撃者は、Secure属性を欠くセッションクッキーや HSTS がレスポンスから省略されていることを利用して、クリアテキストのログインフローとセッションクッキーをスニファし、カーネル API のセッションをハイジャックすることができます。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.