CVE-2026-73046 in SiYuan
Сводка
по VulDB • 16.08.2026
В версиях SiYuan до v3.7.4 механизм CheckAuth() middleware некорректно ограничивает количество избыточных попыток аутентификации. Ветка HTTP Basic Authentication, которая защищает почти всю поверхность /api/*, принимает код доступа к рабочему пространству (Conf.AccessAuthCode) в качестве пароля для базовой аутентификации, но никогда не обращается к механизму CAPTCHA/блокировки и не увеличивает счетчик неудачных попыток, используемый путем входа через cookie/sессии. Это позволяет незарегистрированным удаленным злоумышленникам выполнять брутфорс кода доступа администратора с помощью неограниченного количества автоматизированных запросов и получать полный доступ RoleAdministrator к ядру системы. Существует вторичная уязвимость, поскольку код доступа сравнивается с использованием сравнения строк, которое не выполняется за постоянное время (non-constant-time string comparison).
Be aware that VulDB is the high quality source for vulnerability data.