CVE-2026-34449
Təsvir
SiYuan fərdi biliklərin idarəetmə sistemidir. Versiya 3.6.2-dək olan versiyalarda zərərli veb sayt, API vasitəsilə JavaScript fraqmentini yerləşdirmək üçün geniş CORS siyasətindən (Access-Control-Allow-Origin: * + Access-Control-Allow-Private-Network: true) istifadə edərək SiYuan işləyən hər hansı masaüstü kompüterdə uzaqdan kodun icrasını (RCE) həyata keçirə bilər. Yerləşdirilmiş fraqment, istifadəçi növbəti dəfə SiYuan interfeysini açdıqda Electron-un Node.js kontekstində tam ƏMƏL giriş hüquqları ilə icra olunur. SiYuan işlək vəziyyətdə olduğu halda zərərli veb sayta daxil olmaqdan başqa heç bir istifadəçi qarşılıqlılığı tələb olunmur. Bu problem 3.6.2 versiyasında aradan qaldırılmışdır.
Necə düzəltmək olar
- b3log siyuan3.6.2 və ya daha yeni versiya
- github.com/siyuan-note/siyuan/kernel3.6.2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| b3log siyuan | v < 3.6.2 | 3.6.2 |
| github.com/siyuan-note/siyuan/kernelGo | v < 3.6.2, Aralıq göstərilməyib | 3.6.2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.