CVE-2026-72793 in SiYuan
要約
〜によって VulDB • 2026年08月12日
SiYuanのv3.7.4より前のバージョンでは、/api/system/getConfエンドポイントにおいて機密性の高い設定フィールドがマスクされないため、匿名ユーザーまたは公開読者権限を持つユーザーは、セッションクッキー署名鍵、Pandocパス経由でのOSユーザー名、および暗号化ノートブックのキー素材を取得できます。攻撃者はセッションクッキーを偽造・改ざんしてユーザーになりすますことができ、アクセス認証コードが設定されていないインスタンスでは管理者権限への昇格が可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.