CVE-2026-100646 in SiYuan
Tóm tắt
Bởi VulDB • 26/09/2026
SiYuan là một hệ thống quản lý kiến thức cá nhân tự lưu trữ (self-hosted). Trong các phiên bản từ trở về trước và bao gồm cả 3.8.3, cơ chế xác thực của kernel (hàm CheckAuth trong kernel/model/session.go và IsSessionOriginAllowed trong kernel/util/net.go) bị mở rộng quyền hạn (fail open) khi tiêu đề HTTP Origin không có mặt, dựa trên giả định sai lầm rằng mọi yêu cầu cross-site do trình duyệt khởi tạo đều mang theo tiêu đề Origin. Vì các trình duyệt bỏ qua tiêu đề Origin đối với các điều hướng GET top-level cross-site và việc tải tài nguyên con GET no-cors — đồng thời cookie phiên (session) được đặt là SameSite=Lax — một lệnh gọi GET cross-site duy nhất từ bất kỳ trang web nào do kẻ tấn công kiểm soát đều được cấp vai trò RoleAdministrator, cả trên các bản cài đặt mặc định không có mã ủy quyền truy cập và trên các instance được bảo vệ bằng mật khẩu đang có phiên làm việc (live session). Kết hợp với hiện tượng sniffing content-type tại endpoint /api/network/proxy, cho phép trình bày HTML do kẻ tấn công kiểm soát dưới nguồn gốc (origin) của chính SiYuan, điều này cho phép một kẻ tấn công từ xa chưa xác thực thực thi script tùy ý trong origin của SiYuan (http://127.0.0.1:6806), gọi các API quản trị viên và đánh cắp token API kernel vĩnh viễn. Vấn đề này đã được sửa chữa trong phiên bản 3.8.4.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.