CVE-2026-54069
Təsvir
SiYuan açıq mənbəli fərdi biliklərin idarəetmə sistemidir. 3.7.0 versiyasından əvvəl SiYuan Note-un nüvə HTTP serveri bütün chrome-extension:// mənşələrininə şərtsiz etibar edir və hər bir quraşdırılmış brauzer genişlənməsinə heç bir autentifikasiya olmadan RoleAdministrator girişi verir. Masaüstü quraşdırmalardakı standart boş AccessAuthCode ilə birlikdə, istənilən Chrome/Chromium genişlənməsi — tədarük zənciri hücumu vasitəsilə kompromisə uğramış legitim genişlənmələr də daxil olmaqla — 127.0.0.1:6806 ünvanında SiYuan nüvəsinə tam autentifikasiya olunmuş admin API sorğuları göndərə bilər ki, bu da məlumatların sızdırılmasına, saxlanılan XSS inyeksiyasına və konfiqurasiyanın dəyişdirilməsinə imkan verir. Bu zəiflik 3.7.0 versiyasında aradan qaldırılıb.
Necə düzəltmək olar
- github.com/siyuan-note/siyuan/kernel0.0.0-20260628153353-2d5d72223df4 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/siyuan-note/siyuan/kernelGo | v < 0.0.0-20260628153353-2d5d72223df4 | 0.0.0-20260628153353-2d5d72223df4 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.