Podatności SiYuan

SiYuan przed wersją 3.8.4 renderuje tytuły dokumentów jako HTML w drzewie backlinków bez escapowania znaków znaczników. Atakujący może ustawić złośliwe tytuły przez API zmiany nazwy lub spreparowane notatniki, aby wykonać skrypty w rendererze Electron z dostępem do child_process i wykonaniem poleceń.

SiYuan w wersjach przed 3.8.4 nie escapuje etykiet zakładek importowanych z plików notatnika podczas renderowania ich w drzewie dock. Atakujący może przygotować złośliwe pliki .sy z nieescapowanym HTML w atrybutach zakładek, co prowadzi do wykonania skryptów w rendererze Electron z dostępem do child_process.

SiYuan to system zarządzania wiedzą, który przed wersją 3.7.0 miał luki w zabezpieczeniach związane z 8 nieograniczonymi API, które mogły modyfikować konfigurację i indeks SQL. Użytkownicy z odpowiednim tokenem JWT mogli uzyskać dostęp do tych API, co prowadziło do nieautoryzowanych zmian w stanie serwera.

SiYuan to system zarządzania wiedzą osobistą typu open-source. Przed wersją 3.6.5 poprawka dla CVE-2026-30869 dodała jedynie listę blokowanych ścieżek, ale nie rozwiązała źródła problemu – zbędnego wywołania url.PathUnescape() w funkcji serveExport(). Uwierzytelniony atakujący może użyć podwójnego kodowania URL (%252e%252e), aby przechodzić między katalogami i czytać dowolne pliki obszaru roboczego, w tym pełną bazę danych SQLite (siyuan.db), logi jądra i wszystkie dokumenty użytkowników.

SiYuan przed wersją 3.8.2 zawiera podatność na trwały cross-site scripting (XSS) w serwowaniu zasobów z powodu niekompletnej listy blokowanych rozszerzeń, która pomija typy plików zdolne do wykonywania skryptów. Atakujący mogą przesyłać pliki z rozszerzeniami takimi jak .xht, .ehtml, .xsl, .xbl lub .rdf, które są interpretowane jako wykonywalne typy mediów, i wykonywać JavaScript w celu kradzieży tokenów API i naruszenia bezpieczeństwa obszarów roboczych.

SiYuan przed wersją v3.7.4 nie waliduje parametru packageName w punktach końcowych instalacji i odinstalowania Bazaar, co pozwala uwierzytelnionym administratorom na przeprowadzenie ataku typu path traversal. Atakujący z dostępem administratorskim mogą zapisywać dowolne pliki w dowolnej lokalizacji lub rekurencyjnie usuwać katalogi, podając spreparowane wartości packageName.

SiYuan przed wersją v3.7.4 nie ustawia nagłówków Content-Disposition i X-Content-Type-Options podczas serwowania dowolnych plików, co umożliwia ataki typu stored cross-site scripting. Uwierzytelnieni atakujący mogą przesłać pliki HTML jako zasoby i wykonać skrypty z pełnym dostępem do API jądra, gdy właściciel obszaru roboczego otworzy link do zasobu.

SiYuan przed wersją 3.7.4 rejestruje punkty końcowe debugowania Go net/http/pprof, w tym zrzuty sterty i gorutyn, bez uwierzytelniania, gdy flaga --mode nie jest ustawiona dokładnie na prod. Atakujący mogą uzyskać dostęp do /debug/pprof/heap i powiązanych punktów końcowych, aby wyodrębnić tajemnice z pamięci, w tym AccessAuthCode i klucze API dostawcy AI.

Jądro SiYuan przed wersją 3.7.4 zawiera podatność na nieograniczone próby uwierzytelnienia w middleware CheckAuth(). Middleware akceptuje token API (Conf.Api.Token) przez nagłówek Authorization (Token/Bearer) lub parametr ?token=, a żadna z tych ścieżek nie jest chroniona mechanizmem CAPTCHA/blokady. Zdalny atakujący bez uwierzytelnienia może przeprowadzać nieograniczone automatyczne zgadywanie tokena API, szczególnie gdy skonfigurowano krótki lub słaby token, a po sukcesie uzyskuje pełny dostęp roli Administratora, umożliwiający dowolne operacje na plikach i zapytania SQL.

SiYuan przed wersją v3.7.4 zawiera podatność na cross-site scripting w funkcji unicode2Emoji, która nie sanityzuje danych wyjściowych gałęzi codepoint. Atakujący mogą tworzyć ikony dokumentów z zakodowanym szesnastkowo znacznikiem, który wykonuje się w rendererze z włączoną integracją Node, umożliwiając wykonanie dowolnego kodu na systemie.

SiYuan przed wersją v3.7.4 przechowuje nazwy pól widoku atrybutów bez kodowania HTML i interpoluje je bezpośrednio do elementów option przez innerHTML w menu sortowania. Atakujący mogą wstrzyknąć znaczniki, zmieniając nazwę pola bazy danych, aby wykonać dowolny JavaScript, gdy użytkownik otworzy menu sortowania, a włączona integracja Node w kliencie desktop umożliwia wykonanie kodu.

SiYuan przed wersją v3.7.4 nie waliduje ani nie koduje pola koloru w opcjach select widoku atrybutów, co pozwala na przechowywany cross-site scripting przez osiem niekodowanych miejsc renderowania. Atakujący mogą wstrzyknąć atrybuty obsługi zdarzeń, umieszczając cudzysłowy w wartości koloru, co wykonuje dowolny JavaScript podczas przeglądania baz danych zawierających złośliwe pole select.

SiYuan przed wersją v3.7.4 nieprawidłowo ogranicza nadmierne próby uwierzytelnienia w middleware CheckAuth(). Gałąź HTTP Basic Authentication, która chroni prawie całą powierzchnię /api/*, akceptuje kod dostępu do obszaru roboczego jako hasło Basic Auth, ale nie konsultuje bramki CAPTCHA/blokady ani nie zwiększa licznika nieudanych prób używanych przez ścieżkę logowania cookie/sesja. Pozwala to nieuwierzytelnionym zdalnym atakującym na brute-force kodu dostępu administratora z nieograniczoną liczbą automatycznych żądań i uzyskanie pełnego dostępu RoleAdministrator do jądra. Dodatkowo kod dostępu jest porównywany w czasie niestałym.

SiYuan przed wersją v3.7.4 nie waliduje ani nie koduje wartości szerokości kolumn tabeli, co pozwala na przechowywany cross-site scripting w atrybutach style. Atakujący mogą wstrzyknąć złośliwe ładunki przez API setAttrViewColWidth, które wychodzą poza atrybuty style i wstrzykują obsługę zdarzeń na każdej komórce tabeli, wykonując dowolny kod w rendererze Electron z włączoną integracją Node.

SiYuan przed wersją v3.7.4 zawiera podatność na zdalne wykonanie kodu w operatorze obliczeń szablonu, który renderuje szablony Go tworzone przez użytkownika i przechowuje dane wyjściowe bez sanityzacji. Atakujący mogą wstrzyknąć złośliwy HTML i JavaScript do obliczeń szablonu, które wykonują się w rendererze klienta desktop z włączoną integracją Node, umożliwiając wykonanie dowolnego kodu po otwarciu bazy danych.

SiYuan przed wersją v3.7.4 nie koduje poprawnie metadanych menu bazy danych w interpolacji HTML, co pozwala na wykonanie skryptu z przechowywanych wartości, gdy użytkownik otwiera menu grupy, widoku lub edycji pól. Atakujący mogą wstrzyknąć znaczniki przez opisy lub nazwy pól, które zamykają zawierające elementy i wykonują dowolny kod przez obsługę zdarzeń, docierając do wbudowanych funkcji Node z powodu niebezpiecznej konfiguracji Electron.

SiYuan przed wersją v3.7.4 nie waliduje ani nie koduje pól adnotacji zapisywanych na dysku przez endpoint setFileAnnotation. Atakujący mogą wstrzyknąć złośliwe znaczniki do pól adnotacji, które wykonują się jako skrypt w rendererze PDF z pełnym dostępem do Node.js, gdy użytkownik otworzy opatrzony adnotacjami plik PDF.

SiYuan w wersjach <= v3.7.2 zawiera podatność na wstrzyknięcie SQL w zapytaniu wyszukiwania backlink/mention (kernel/model/backlink.go), które łączy przechowywane metadane bloków (tytuł, nazwa, alias, tekst kotwicy) oraz słowo kluczowe dostarczone przez klienta w zapytanie SQL MATCH/search, escapując tylko podwójny cudzysłów, a nie pojedynczy. Pojedynczy cudzysłów w słowie kluczowym klienta (pierwszego rzędu, osiągalny przez anonimowego użytkownika lub użytkownika RoleReader na powierzchni publikacji) lub w przechowywanych metadanych dokumentu (drugiego rzędu) przełamuje literał łańcuchowy. Ponieważ zapytanie jest wykonywane na głównym uchwycie siyuan.db z możliwością układania instrukcji, atakujący może wykonać dowolny SQL, umożliwiając odczyt i zapis między notatnikami. Naprawione w v3.7.4.

SiYuan przed wersją v3.7.3 zawiera lukę wstrzyknięcia SQL w punkcie końcowym /api/filetree/searchDocs, gdzie dostarczony przez wywołującego parametr keyword jest łączony bezpośrednio z instrukcjami SQL bez escapowania lub wiązania parametrów. Punkt końcowy jest osiągalny przez token publish RoleReader lub nieuwierzytelnionych użytkowników, gdy tryb publikacji jest włączony z Publish.Auth.Enable ustawionym na false. Ponieważ instrukcja jest wykonywana na uchwycie SQLite do odczytu i zapisu za pomocą sterownika obsługującego instrukcje składowane (rozdzielone średnikami), atakujący może odczytywać i modyfikować zawartość bazy danych we wszystkich notatnikach w postaci jawnego tekstu (niezaszyfrowanych) w instancji.

SiYuan w wersjach <= v3.7.2 udostępnia punkt końcowy /api/search/searchEmbedBlock, który przekazuje dostarczoną przez klienta instrukcję SQL dosłownie do głównego uchwytu siyuan.db z możliwością odczytu i zapisu, bez ograniczeń dotyczących pojedynczej instrukcji, tylko do odczytu lub administracyjnych. Punkt końcowy jest chroniony tylko przez CheckAuth, co czyni go osiągalnym przez token publish RoleReader oraz przez anonimowych użytkowników, gdy uwierzytelnianie publikacji jest wyłączone. Ponieważ sterownik wykonuje instrukcje składowane, atakujący może odczytywać i modyfikować zawartość wszystkich otwartych notatników w postaci jawnego tekstu (notatniki szyfrowane per-box są wykluczone). Poprawiono w v3.7.3.

SiYuan przed wersją v3.7.3 zawiera luki wstrzyknięcia SQL w punkcie końcowym fullTextSearchAssetContent, osiągalnym przez nieuwierzytelnionych użytkowników i tokeny publish RoleReader. Atakujący mogą wykonać dowolne SQL na bazie danych asset-content z możliwością odczytu i zapisu za pomocą nieescapowanych parametrów metod i klauzul REGEXP, aby odczytać, zmodyfikować lub usunąć dane między notatnikami.

SiYuan desktop przed wersją 3.7.2 zawiera podatność na odbity XSS w handlerze readme wtyczek bazaar. Atakujący może stworzyć złośliwy link siyuan://, który po kliknięciu przez ofiarę wykonuje kod JavaScript z pełnym dostępem do Node.js poprzez insertAdjacentHTML w niebezpiecznie skonfigurowanym Electronie.

SiYuan przed wersją v3.7.2 zawiera podatność na brak autoryzacji w punkcie końcowym POST /mcp, który jest chroniony tylko ogólnym sprawdzeniem uwierzytelnienia, bez wymogu roli administratora lub trybu tylko do odczytu. Umożliwia to zdalnemu, nieuwierzytelnionemu atakującemu dostęp do 31 narzędzi MCP, w tym do operacji na plikach w całym obszarze roboczym.

SiYuan przed wersją v3.7.2 zawiera podatność na cross-site scripting w handlerze protokołu siyuan://. Gdy link siyuan://plugins/<name> odnosi się do nieistniejącej wtyczki, aplikacja otwiera zakładkę i wstawia parametr ikony linku do nagłówka zakładki przez innerHTML bez eskejpowania, umożliwiając wstrzyknięcie elementu <img onerror=...>. Ponieważ renderer desktopowy SiYuan działa z nodeIntegration:true, wstrzyknięty JavaScript może uzyskać dostęp do require Node i wywołać require('child_process').execSync(...), eskalując XSS do dowolnego wykonania poleceń systemu operacyjnego.

SiYuan przed wersją v3.7.2 zawiera podatność na przechowywane cross-site scripting w renderowaniu komórek widoku atrybutów (bazy danych). Wartość kolumny szablonu jest renderowana jako HTML przez text/template bez auto-eskejpowania, a EscapeHTML jest stosowany tylko gdy HasUnclosedHtmlTag zwraca true; ponieważ zbalansowane samozamykające się tagi, takie jak <img>, są pomijane przez to sprawdzenie, ładunek taki jak <img src=x onerror=...> jest przechowywany bez eskejpowania i później wstawiany do strony przez innerHTML, wykonując się podczas przeglądania bazy danych. Ponieważ renderer desktopowy działa z włączonym nodeIntegration, wstrzyknięty skrypt może uzyskać dostęp do require i eskalować do dowolnego wykonania poleceń.

SiYuan to otwartoźródłowy system zarządzania wiedzą osobistą, który przed wersją 3.7.0 nie uciekał niezaufanych pól (nazwa, wersja, autor, opis) podczas serializacji do atrybutu HTML data-obj każdego karty rynkowej. W wyniku tego, pakiet zawierający pojedynczy cudzysłów mógł wstrzyknąć dowolny kod HTML, co prowadziło do eskalacji z DOM XSS do wykonania dowolnych poleceń systemowych.

SiYuan to otwartoźródłowy system zarządzania wiedzą osobistą. W wersjach przed 3.7.0, fragment CSS zawierający </style> powoduje wyjście z otaczającego tagu <style>, co umożliwia wykonanie dowolnego kodu JavaScript w rendererze. W przypadku desktopowych wersji Electron, renderer działa z nodeIntegration:true, co pozwala na dostęp do require('child_process') z wstrzykniętego handlera, co prowadzi do zdalnego wykonania kodu (RCE).

SiYuan to otwartoźródłowy system zarządzania wiedzą osobistą. W wersjach przed 3.7.0, nazwy widoków atrybutów są przechowywane bez HTML escape, co prowadzi do możliwości wstrzyknięcia HTML i wykonania kodu Node.js w rendererze.

SiYuan to system zarządzania wiedzą, który przed wersją 3.7.0 miał problem z obsługą atrybutu aria-label. W wyniku niewłaściwego dekodowania URL, możliwe było wstrzyknięcie złośliwego kodu HTML, co prowadziło do wykonania nieautoryzowanego skryptu.

SiYuan przed wersją 3.6.4 zawiera podatność na przechowywany XSS, która umożliwia zdalne wykonanie kodu w kliencie desktopowym Electron. Atakujący może zaimportować spreparowaną notatkę do zsynchronizowanego obszaru roboczego, a po jej otwarciu przez ofiarę kod JavaScript wykona się z dostępem do API Node.js.

SiYuan, system zarządzania wiedzą osobistą, w wersjach przed 3.6.2 pozwala złośliwej stronie internetowej na zdalne wykonanie kodu (RCE) na pulpicie użytkownika. Dzieje się tak przez nadmiernie liberalną politykę CORS (Access-Control-Allow-Origin: * + Access-Control-Allow-Private-Network: true), która umożliwia wstrzyknięcie kodu JavaScript przez API. Wstrzyknięty kod wykonuje się w kontekście Node.js Electrona z pełnym dostępem do systemu operacyjnego przy następnym otwarciu interfejsu SiYuan. Do ataku nie jest wymagana żadna interakcja użytkownika poza odwiedzeniem złośliwej strony podczas działania SiYuan.

SiYuan przed wersją 3.6.2 pozwala na przechowywany XSS poprzez atrybut URL w polu Asset View. W kliencie Electron XSS eskaluje do wykonania dowolnych poleceń systemowych z powodu włączonego nodeIntegration i wyłączonego contextIsolation.

SiYuan, system zarządzania wiedzą osobistą, w wersjach przed 3.5.4 zawiera podatność na trwały Cross-Site Scripting (XSS), umożliwiającą atakującemu wstrzyknięcie dowolnych atrybutów HTML do atrybutu `icon` bloku za pośrednictwem API `/api/attr/setBlockAttrs`. Ładunek jest później renderowany w funkcji dynamicznych ikon w niesanitowanym kontekście, co prowadzi do trwałego XSS, a w środowisku desktopowym potencjalnie do zdalnego wykonania kodu (RCE). Podatność omija wcześniejszą poprawkę dla problemu #15970. Wersja 3.5.4 zawiera zaktualizowaną poprawkę.

SiYuan do wersji 3.8.4 nie escapuje atrybutów stylu nagłówków podczas renderowania HTML konspektu i zakładek, co pozwala na przechowywany cross-site scripting. Atakujący może dostarczyć spreparowane notatniki lub wywołać endpointy administracyjne, aby wstrzyknąć złośliwe wartości stylu, które wykonają się w rendererze Electron z pełnym dostępem do systemu.

SiYuan do wersji 3.8.4 renderuje nazwy notatników jako surowy HTML w oknie wyboru Daily Note bez escapowania, co pozwala na przechowywany cross-site scripting w rendererze Electron. Atakujący może tworzyć notatniki z ładunkami HTML w nazwach, które wykonają JavaScript z dostępem do Node.js po otwarciu okna wyboru, umożliwiając wykonanie poleceń systemowych.

SiYuan w wersjach do 3.8.4 nie egzekwuje kontroli dostępu do publikacji w punkcie końcowym getDynamicIcon, umożliwiając posiadaczom tokenów tylko do odczytu dostęp do metadanych dokumentów. Atakujący mogą wywołać punkt końcowy z type=8 i spreparowaną treścią, aby odczytać tytuły bloków, nazwy, aliasy i ścieżki hierarchiczne zastrzeżonych dokumentów poprzez wstrzyknięcie szablonu.

SiYuan w wersjach przed 3.8.3 zawiera podatność na wstrzyknięcie SQL w funkcji query2Stmt w graph.go, gdzie wartości tagów są konkatenowane bezpośrednio do literałów SQL bez escapowania pojedynczych cudzysłowów. Czytelnik w trybie publikacji lub anonimowy odwiedzający może wstrzyknąć SQL poprzez inline HTML span tags w endpoincie getGraph, aby wykonać dowolne zapytania na bazie danych z prawem zapisu i wyeksfiltrować prywatne dane z notesów.

SiYuan przed wersją v3.8.2 zawiera podatność na przechodzenie po ścieżkach w punkcie końcowym /api/riff/removeRiffDeck, który nie waliduje parametru deckID. Uwierzytelniony administrator może podać sekwencje przechodzenia po ścieżkach, aby usunąć dowolne pliki .deck i .cards poza katalogiem roboczym.

SiYuan przed wersją v3.8.2 zawiera podatność na trwały cross-site scripting w funkcji podglądu zasobów wyszukiwania, która nie koduje treści indeksowanych zasobów przed wstawieniem ich do DOM za pomocą innerHTML. Atakujący, którzy mogą umieścić spreparowane zasoby tekstowe w obszarze roboczym, mogą wykonać JavaScript w kontekście SiYuan, gdy ofiary podglądają zasoby, co umożliwia uwierzytelnione żądania API i manipulację obszarem roboczym.

SiYuan przed wersją v3.8.2 zawiera podatność na trwały cross-site scripting w liście wyników wyszukiwania zasobów, gdzie nazwy plików zasobów są interpolowane do HTML bez kodowania. Uwierzytelnieni atakujący mogą stworzyć nazwy plików zawierające złośliwy kod, który wykonuje JavaScript w przeglądarce ofiary podczas wyszukiwania zasobów, umożliwiając żądania API w tym samym kontekście i manipulację stanem aplikacji.

SiYuan przed wersją v3.8.2 zawiera podatność na trwały cross-site scripting w kartach pakietów Bazaar, gdzie metadane iconURL są wstawiane bezpośrednio do atrybutów src tagów img HTML bez escapowania. Atakujący mogą wstrzykiwać złośliwe adresy URL z handlerami zdarzeń, które wykonują JavaScript w uwierzytelnionym origin SiYuan, gdy użytkownicy przeglądają listy Bazaar, umożliwiając żądania API i manipulację stanem aplikacji.

SiYuan przed wersją v3.8.2 wstawia utrwalone ścieżki szablonów notatników do atrybutów wartości wejściowych HTML bez odpowiedniego kodowania atrybutów. Atakujący mogą stworzyć złośliwe ścieżki szablonów, które wychodzą poza kontekst atrybutu i wykonują JavaScript, gdy ofiara otwiera konfigurację notatnika, umożliwiając żądania API w tym samym kontekście i manipulację stanem aplikacji.

Siyuan przed wersją v3.8.2 zawiera podatność na ujawnienie informacji w punkcie końcowym POST /api/search/fullTextSearchBlock, który filtruje prywatne bloki z wyników, ale zwraca niefiltrowane liczby dopasowań. Nieuwierzytelnieni czytelnicy w trybie publikacji mogą wysyłać dowolne terminy wyszukiwania, aby dowiedzieć się, czy pasująca treść istnieje w ukrytych lub nieopublikowanych dokumentach, oraz określić liczbę pasujących bloków i stron.

Siyuan przed wersją v3.8.2 nie stosuje filtrowania dostępu publikacyjnego do osadzonych bloków przed renderowaniem w punktach końcowych /api/export/preview i /api/lute/copyStdMarkdown. Atakujący z dostępem czytelnika mogą uzyskać pełną wyrenderowaną treść prywatnych, ukrytych lub wyłączonych z publikacji bloków, uzyskując dostęp do publicznych dokumentów zawierających zapytania osadzające, które wybierają te bloki.

SiYuan w wersjach <= 3.8.1 zawiera niekompletną poprawkę dla CVE-2026-32767 (GHSA-j7wh-x834-p3r7). Poprzednia poprawka (commit d5e2d0bc) dodała sprawdzenie administratora dla trybu SQL (method=2) w POST /api/search/fullTextSearchBlock, ale punkt końcowy nadal nie egzekwuje granicy trybu tylko do odczytu aplikacji: dla method=2 przekazuje SQL dostarczony przez wywołującego do ścieżki zapytań bazy danych bloków bez wywoływania model.CheckReadonly lub CheckReadonlyStatementInBox. W rezultacie, gdy obszar roboczy działa w trybie tylko do odczytu (--readonly=true), uwierzytelniony administrator może wysyłać dowolny SQL przez /api/search/fullTextSearchBlock i uzyskać surowy dostęp do odczytu bazy danych bloków, mimo że dedykowany punkt końcowy /api/query/sql jest zablokowany w tym trybie. Naprawiono w v3.8.2.

SiYuan przed wersją v3.8.2 zawiera uwierzytelnioną podatność na wstrzykiwanie SQL w punkcie końcowym fullTextSearchBlock w parametrze zapytania method=1. Atakujący mogą wstrzyknąć instrukcje UNION SELECT, aby odczytać całą tabelę blocks, omijając kontrolę dostępu do publikacji i ujawniając całą zawartość dokumentów oraz wrażliwe atrybuty.

SiYuan przed wersją 3.8.2 ufa typowi MIME text/siyuan w schowku, który może być modyfikowany przez atakującego, i pomija sanityzację w obsłudze wklejania, co pozwala na wykonanie kodu w rendererze z włączonym Node.js. Atakujący mogą tworzyć złośliwe strony internetowe, które zapisują do schowka, a po wklejeniu do SiYuan, wstrzyknięte skrypty wykonują się z pełnym dostępem do Node.js przez proces główny Electrona.

SiYuan przed wersją v3.8.2 nie filtruje prawidłowo prywatnych wartości komórek widoku atrybutów w punkcie końcowym getAttributeViewKeys. Czytelnicy publikacji mogą pobierać ukryte ładunki KeyValues z wierszy powiązanych z niedostępnymi dokumentami, ujawniając prywatne treści baz danych bez autoryzacji.

SiYuan przed wersją v3.8.2 zawiera podatność na ujawnienie informacji w punkcie końcowym getAttributeViewKeysByID, która pozwala czytelnikom publikacji na wyliczanie prywatnych definicji kluczy widoku atrybutów bez weryfikacji widoczności nadrzędnej bazy danych. Atakujący mogą uzyskać dostęp do punktu końcowego, aby pobrać kompletne schematy kluczy, w tym wrażliwe nazwy pól i definicje relacji z ukrytych baz danych.

SiYuan przed wersją v3.8.2 zawiera podatność na nieograniczone zużycie zasobów w oprogramowaniu pośredniczącym ograniczającym współbieżność żądań, które przechowuje wpisy muteksów dla każdej unikalnej ścieżki żądania bez mechanizmu usuwania. Nieuwierzytelnieni atakujący mogą wysyłać wiele unikalnych ścieżek żądań, trwale zwiększając zużycie pamięci procesu i narzut synchronizacji, co pogarsza dostępność usługi.