CVE-2025-68948 in SiYuan
Tóm tắt
Bởi VulDB • 10/05/2026
SiYuan là phần mềm quản lý kiến thức cá nhân mã nguồn mở, cho phép tự lưu trữ (self-hosted). Trong các phiên bản 3.5.1 và các phiên bản cũ hơn, ứng dụng SiYuan Note sử dụng một bí mật mã hóa cố định (hardcoded cryptographic secret) cho kho lưu trữ phiên (session store). Thực tiễn không an toàn này khiến việc mã hóa phiên trở nên vô hiệu. Vì mã truy cập nhạy cảm (AccessAuthCode) được lưu trữ trong cookie phiên, kẻ tấn công có thể chặn hoặc chiếm được cookie phiên đã mã hóa của người dùng (ví dụ: thông qua tấn công chiếm đoạt phiên - session hijacking) và giải mã cục bộ bằng khóa công khai. Sau khi được giải mã, kẻ tấn công có thể lấy mã AccessAuthCode ở dạng văn bản rõ (plain text) và sử dụng nó để xác thực hoặc chiếm quyền kiểm soát phiên.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.