CVE-2026-116166

Mở trang đầy đủ

CVSS 6.8 MEDIUM Lộ dữ liệu

SiYuan 3.6.0 before 3.8.7 Cleartext Transmission via Unenforced networkServeTLS Setting

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

SiYuan 3.6.0 before 3.8.7 accepts and persists the networkServeTLS setting but never enforces it, so the kernel port keeps serving full API access over plain HTTP alongside HTTPS. Network-adjacent attackers can sniff the cleartext login flow and session cookie, which lacks the Secure attribute while responses omit HSTS, to hijack kernel API sessions.

Điểm và phân loại

CVSS
6.8 MEDIUM v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
MEDIUM
EPSS
—
CWE
CWE-319

Vector CVSS:3.1/AV:A/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N

Ảnh hưởng

Sản phẩm

  • siyuan-note siyuan

Vì sao bị lọc

  • CVSS 6.8 < 8.0 và không thuộc CISA KEV

Loại tác động

Lộ dữ liệu
CWE-319

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
VulnCheck
CVE.org · SSVC
Tự động hoá được: no · Khai thác: poc · Tác động kỹ thuật: total

Tham khảo