CVE-2026-54069

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.7.0

Descrição O servidor HTTP do kernel confia incondicionalmente em todas as origens chrome-extension://, concedendo acesso RoleAdministrator a cada extensão de navegador instalada sem autenticação. Quando combinado com o AccessAuthCode vazio por padrão em instalações de desktop, qualquer extensão do Chrome ou Chromium pode fazer chamadas de API de administrador totalmente autenticadas ao kernel em '127.0.0.1:6806'. Isso permite a exfiltração de dados, injeção de XSS (Cross-Site Scripting, um método de injetar scripts maliciosos em páginas web) armazenada e adulteração de configurações.

Recomendações Atualize para a versão 3.7.0.