CVE-2026-72793

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.7.4

Descrição Campos de configuração sensíveis não são mascarados adequadamente no endpoint '/api/system/getConf'. Isso permite que usuários anônimos ou com permissões de leitor de publicação obtenham a chave de assinatura de cookies de sessão, o nome de usuário do SO via caminho do pandoc e material de chave de notebooks criptografados. Um invasor pode usar essas informações para forjar ou adulterar cookies de sessão para personificar outros usuários. Em instâncias onde códigos de autenticação de acesso não estão configurados, isso pode resultar em escalada de privilégios para administrador.

Recomendações Atualize para a versão 3.7.4 ou posterior. Restrinja o acesso ao endpoint '/api/system/getConf' como uma medida de mitigação temporária.