CVE-2026-32815
Açıklama
SiYuan bir kişisel bilgi yönetim sistemidir. 3.6.0 ve altı sürümlerde, belirli URL parametreleri (?app=siyuan&id=auth&type=auth) sağlandığında WebSocket uç noktası (/ws) kimlik doğrulaması yapılmamış bağlantılara izin vermektedir. Giriş sayfasının çekirdeği canlı tutmak için tasarlanan bu atlatma; çapraz kökenli WebSocket üzerinden kötü amaçlı web siteleri dahil olmak üzere herhangi bir harici istemcinin bağlanmasına ve tüm sunucu anlık bildirim olaylarını gerçek zamanlı olarak almasına olanak tanır. Bu olaylar; belge başlıkları, defter isimleri, dosya yolları ve kimliği doğrulanmış kullanıcılar tarafından gerçekleştirilen tüm CRUD işlemleri dahil olmak üzere hassas belge meta verilerini sızdırmaktadır. Origin üstbilgisi doğrulamasının olmamasıyla birleştiğinde, kötü amaçlı bir web sitesi kurbanın yerel SiYuan örneğine sessizce bağlanabilir ve not alma etkinliklerini izleyebilir. Bu sorun 3.6.1 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- b3log siyuan3.6.1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log siyuan | v < 3.6.1 | 3.6.1 |
| github.com/siyuan-note/siyuan/kernelGo | v ≤ 0.0.0-20260313024916-fd6526133bb3, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.