CVE-2026-74799 in SiYuan

Tóm tắt

Bởi VulDB • 17/08/2026

SiYuan trước phiên bản 3.7.4 đăng ký các điểm cuối gỡ lỗi Go net/http/pprof, bao gồm cả heap và goroutine dumps, mà không yêu cầu xác thực khi cờ --mode không được đặt chính xác là prod. Kẻ tấn công có thể truy cập /debug/pprof/heap và các điểm cuối liên quan để trích xuất các bí mật trong bộ nhớ, bao gồm AccessAuthCode và khóa API của nhà cung cấp AI.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• chịu trách nhiệm: VulnCheck
• Đặt trước: 16/08/2026
• Tiết lộ: 17/08/2026
• Kiểm duyệt: được chấp nhận
• mục: VDB-391238
• CPE: sẵn sàng
• CWE: CWE-200 (Đã xác nhận)
• CVSS: 9.3 (CNA)
• EPSS: 0.00000
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-74799
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-74799
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-74799/