SiYuanで通信が暗号化されず認証情報を盗聴される恐れ
Summary
SiYuan 3.6.0以降3.8.7未満では、networkServeTLSの設定が反映されず、カーネルのポートで平文のHTTPによるAPI接続が引き続き受け付けられます。同じネットワーク上の攻撃者がログインやセッションCookieを盗聴し、APIセッションを乗っ取るおそれがあります。修正版として3.8.7が公開されているため、早急にアップデートしてください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
SiYuan 3.6.0以降3.8.7未満では、networkServeTLSの設定が反映されず、カーネルのポートで平文のHTTPによるAPI接続が引き続き受け付けられます。同じネットワーク上の攻撃者がログインやセッションCookieを盗聴し、APIセッションを乗っ取るおそれがあります。修正版として3.8.7が公開されているため、早急にアップデートしてください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| siyuan-notesiyuan |
≥ 3.6.0, < 3.8.7→ 3.8.7 |
3.8.7 |
Original description The description as published by the source.
SiYuan 3.6.0 before 3.8.7 accepts and persists the networkServeTLS setting but never enforces it, so the kernel port keeps serving full API access over plain HTTP alongside HTTPS. Network-adjacent attackers can sniff the cleartext login flow and session cookie, which lacks the Secure attribute while responses omit HSTS, to hijack kernel API sessions.
Source: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
References
- advisory github.com
- advisory vulncheck.com
- advisory nvd.nist.gov
- advisory github.com
- web github.com