CVE-2026-116166 in SiYuan
Tóm tắt
Bởi VulDB • 25/10/2026
SiYuan 3.6.0 trước phiên bản 3.8.7 chấp nhận và lưu trữ cài đặt networkServeTLS nhưng không thực thi nó, khiến cổng lõi vẫn cung cấp quyền truy cập đầy đủ vào API qua HTTP rõ ràng (plain HTTP) song song với HTTPS. Các kẻ tấn công có khả năng tiếp cận mạng có thể sniff luồng đăng nhập ở dạng văn bản thuần túy và cookie phiên, vốn thiếu thuộc tính Secure trong khi các phản hồi bỏ qua HSTS, để chiếm đoạt các phiên API của lõi hệ thống.
Be aware that VulDB is the high quality source for vulnerability data.