CVE-2026-74799

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.7.4

Descrição Quando a flag --mode não é definida especificamente como prod, o software registra endpoints de depuração Go net/http/pprof sem autenticação. Isso permite que atacantes acessem endpoints como '/debug/pprof/heap' e outros caminhos de depuração relacionados para extrair dados sensíveis da memória, incluindo AccessAuthCode e chaves de API de provedores de IA.

Recomendações Atualize para a versão 3.7.4 ou posterior. Defina a flag --mode como prod para garantir que os endpoints de depuração não sejam registrados.