CVE-2026-100646

SiYuan, kendi sunucunuzda barındırabileceğiniz bir kişisel bilgi yönetim sistemidir. 3.8.3 dahil önceki sürümlerde, çekirdeğin kimlik doğrulama korumaları (kernel/model/session.go içindeki CheckAuth ve kernel/util/net.go içindeki IsSessionOriginAllowed), tarayıcı tarafından başlatılan tüm siteler arası isteklerin bir Origin taşıdığı yönündeki yanlış varsayım nedeniyle, HTTP Origin başlığı eksik olduğunda erişime izin vermektedir. Tarayıcılar, siteler arası üst düzey GET gezintilerinde ve no-cors GET alt kaynak yüklemelerinde Origin bilgisini çıkardığından ve oturum çerezi SameSite=Lax olarak ayarlandığından; saldırgan kontrolündeki herhangi bir web sayfasından gönderilen tek bir siteler arası GET isteği, hem erişim yetkilendirme kodu olmayan varsayılan kurulumlarda hem de aktif bir oturumu olan şifre korumalı örneklerde RoleAdministrator yetkisi kazanmaktadır. Saldırgan kontrollü HTML içeriğinin SiYuan'ın kendi kaynağı altında sunulmasına izin veren /api/network/proxy uç noktasındaki içerik tipi koklama (content-type sniffing) ile birleştiğinde bu durum, kimliği doğrulanmamış uzaktaki bir saldırganın SiYuan kaynağında (http://127.0.0.1:6806) rastgele betikler çalıştırmasına, yönetici API'lerini çağırmasına ve kalıcı çekirdek API belirtecini sızdırmasına olanak tanır. Bu sorun 3.8.4 sürümünde düzeltilmiştir.