CVE-2026-73046
Açıklama
v3.7.4 öncesindeki SiYuan, CheckAuth() ara yazılımında aşırı kimlik doğrulama denemelerini uygun şekilde kısıtlamamaktadır. Neredeyse tüm /api/* yüzeyini koruyan HTTP Basic Authentication dalı, çalışma alanı erişim kodunu (Conf.AccessAuthCode) Basic Auth parolası olarak kabul eder ancak CAPTCHA/kilitleme kapısına danışmaz veya çerez/oturum giriş yolu tarafından kullanılan hata sayacını artırmaz. Bu durum, kimliği doğrulanmamış uzak saldırganların sınırsız otomatik isteklerle yönetici erişim koduna yönelik kaba kuvvet saldırısı yapmasına ve çekirdeğe tam RoleAdministrator erişimi elde etmesine olanak tanır. Erişim kodunun sabit zamanlı olmayan bir dize karşılaştırması kullanılarak karşılaştırılması nedeniyle ikincil bir zayıflık da mevcuttur.
Nasıl düzeltilir
- siyuan-note siyuan3.7.4 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| siyuan-note siyuan | v < 3.7.4 | 3.7.4 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.