CVE-2026-100646 in SiYuan
요약
\~에 의해 VulDB • 2026. 09. 26.
SiYuan은 자체 호스팅되는 개인 지식 관리 시스템입니다. 버전 3.8.3 이하에서 커널의 인증 가드(커널/model/session.go의 CheckAuth 및 커널/util/net.go의 IsSessionOriginAllowed)는 HTTP Origin 헤더가 누락된 경우, 모든 브라우저 시작 크로스 사이트 요청에는 Origin이 포함된다는 잘못된 가정으로 인해 개방 상태(fail open)로 동작합니다. 브라우저는 크로스 사이트 최상위 GET 탐색과 no-cors GET 서브리소스 로딩에서 Origin을 생략하며 세션 쿠키가 SameSite=Lax인 경우, 공격자가 제어하는 웹 페이지에서 단일 크로스 사이트 GET 요청이 기본 설치(접근 권한 부여 코드 없음)와 비밀번호로 보호된 인스턴스(활성 세션 있음) 모두에서 RoleAdministrator 역할을 획득합니다. /api/network/proxy 엔드포인트에서의 콘텐츠 타입 스니핑과 결합되면, 공격자가 제어하는 HTML을 SiYuan의 자체 오리진 하에 제공될 수 있게 되어, 인증되지 않은 원격 공격자가 SiYuan 오리진(http://127.0.0.1:6806)에서 임의 스크립트를 실행하고 관리자 API를 호출하며 영구 커널 API 토큰을 유출할 수 있습니다. 이 문제는 버전 3.8.4에서 수정되었습니다.
Be aware that VulDB is the high quality source for vulnerability data.