CVE-2026-54069
Açıklama
SiYuan açık kaynaklı bir kişisel bilgi yönetim sistemidir. 3.7.0 sürümünden önce, SiYuan Note'un çekirdek HTTP sunucusu tüm chrome-extension:// kökenlerine koşulsuz olarak güvenmekte ve yüklü olan her tarayıcı uzantısına herhangi bir kimlik doğrulama olmaksızın RoleAdministrator erişimi vermektedir. Masaüstü kurulumlarındaki varsayılan boş AccessAuthCode ile birleştiğinde, tedarik zinciri saldırısı yoluyla ele geçirilmiş meşru bir uzantı da dahil olmak üzere herhangi bir Chrome/Chromium uzantısı, 127.0.0.1:6806 adresindeki SiYuan çekirdeğine tam yetkili yönetici API çağrıları yapabilir; bu durum veri sızdırmayı, saklanan XSS enjeksiyonunu ve yapılandırma manipülasyonunu mümkün kılar. Bu güvenlik açığı 3.7.0 sürümünde giderilmiştir.
Nasıl düzeltilir
- github.com/siyuan-note/siyuan/kernel0.0.0-20260628153353-2d5d72223df4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| github.com/siyuan-note/siyuan/kernelGo | v < 0.0.0-20260628153353-2d5d72223df4 | 0.0.0-20260628153353-2d5d72223df4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.