CVE-2026-74800
KrytyczneCVSS 9.0Streszczenie
SiYuan przed wersją v3.7.4 nie ustawia nagłówków Content-Disposition i X-Content-Type-Options podczas serwowania dowolnych plików, co umożliwia ataki typu stored cross-site scripting. Uwierzytelnieni atakujący mogą przesłać pliki HTML jako zasoby i wykonać skrypty z pełnym dostępem do API jądra, gdy właściciel obszaru roboczego otworzy link do zasobu.
Ocena ryzyka
Ryzyko polega na możliwości wykonania złośliwych skryptów w kontekście przeglądarki właściciela obszaru roboczego, co może prowadzić do kradzieży danych lub przejęcia kontroli nad aplikacją.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji 3.7.4 lub nowszej, która ustawia odpowiednie nagłówki bezpieczeństwa.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 fails to set Content-Disposition and X-Content-Type-Options headers when serving arbitrary file assets, allowing stored cross-site scripting attacks. Authenticated attackers can upload HTML files as assets and execute scripts with full kernel API access when the workspace owner opens the asset link.