CVE-2026-100646

SiYuan özünə məxsus serverdə yerləşdirilən fərdi biliklərin idarəetmə sistemidir. 3.8.3 daxil olmaqla daha əvvəlki versiyalarda, nüvənin autentifikasiya mühafizəçiləri (kernel/model/session.go faylında CheckAuth və kernel/util/net.go faylında IsSessionOriginAllowed), HTTP Origin başlığı olmadıqda, brauzer tərəfindən başladılan hər bir çarpraz sayt sorğusunun Origin daşıdığı yanlış fərziyyəsinə əsaslanaraq girişi açıq saxlayır. Brauzerlər çarpraz sayt yuxarı səviyyəli GET naviqasiyaları və no-cors GET altresurs yükləmələri zamanı Origin-i ötürdükləri üçün və sessiya kukisi SameSite=Lax olduğu üçün, hücumçu tərəfindən idarə olunan istənilən veb səhifədən göndərilən tək bir çarpraz sayt GET sorğusuna həm giriş icazəsi kodu olmayan standart quraşdırmalarda, həm də aktiv sessiyası olan şifrə ilə qorunan nüsxələrdə RoleAdministrator imtiyazları verilir. Bu vəziyyət, hücumçu tərəfindən idarə olunan HTML-in SiYuan-ın öz mənşəyi altında təqdim edilməsinə imkan verən /api/network/proxy son nöqtəsindəki content-type sniffing ilə birləşdikdə, autentifikasiya olunmamış uzaqdakı hücumçuya SiYuan mənşəyində (http://127.0.0.1:6806) ixtiyari skriptlərin icra etməyinə, administrator API-larını çağırmağa və daimi nüvə API tokenini sızdırmağa imkan verir. Bu problem 3.8.4 versiyasında düzəldilmişdir.