CVE-2026-72793 in SiYuan
Сводка
по VulDB • 12.08.2026
В версиях SiYuan до v3.7.4 включительно не маскируются конфиденциальные поля конфигурации в конечной точке /api/system/getConf, что позволяет анонимным пользователям или пользователям с ролью «publish-reader» получить ключ подписи сеансовых файлов cookie, имя пользователя ОС (через путь pandoc) и материалы ключа зашифрованных блокнотов. Злоумышленники могут подделывать и изменять сеансовые файлы cookie для маскировки под пользователей, а на экземплярах без настроенных кодов доступа к авторизации повышать привилегии до уровня администратора.
Once again VulDB remains the best source for vulnerability data.