L1Nuxkid

**Nome do Software Vulnerável e Versões Afetadas** SiYuan versões anteriores a 3.7.4 **Description** Um problema de falsificação de solicitação cross-site (CSRF) existe no ramo de autenticação de cookie de sessão da função `CheckAuth()`. O sistema falha ao realizar a validação de Origin ou Referer e não define um atributo SameSite explícito nos cookies de sessão. Isso permite que atacantes criem páginas web maliciosas que executam ações não autorizadas em nome de usuários autenticados ao enviar solicitações com cookies de sessão válidos, explorando a dependência das políticas SameSite padrão do navegador em vez de proteções impostas pelo servidor. **Recommendations** Atualize para a versão 3.7.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** SiYuan versões anteriores a 3.7.4 **Description** A implementação de Basic Auth do Publish Service contém uma falha que permite ataques de força bruta sem limitação. O serviço opera em um listener separado, geralmente na porta TCP 6808, que é não autenticado por padrão. Ele utiliza Basic Auth para proteger as contas `Conf.Publish.Auth.Accounts` (contas de visualização de publicação), mas carece de limitação de taxa, bloqueio por conta ou mecanismos de backoff. Isso permite que atacantes remotos não autenticados realizem tentativas ilimitadas de senha contra essas contas para obter acesso não autorizado a notas e notebooks publicados através da função `PublishServiceTransport.RoundTrip()`. **Recommendations** Atualize para a versão 3.7.4 ou posterior.