- Yama var
- Son 7 gün
- CWE-319
CVE-2026-116166
SiYuan'da networkServeTLS ayarının uygulanmaması nedeniyle şifresiz iletim riski
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
SiYuan 3.6.0 ile 3.8.7 öncesi sürümlerde networkServeTLS ayarı kaydedilip saklanmasına rağmen uygulanmaz. Bu nedenle çekirdek (kernel) portu, HTTPS ile birlikte düz HTTP üzerinden de tam API erişimi sunmaya devam eder. Ağ üzerinde bitişik konumdaki saldırganlar, şifresiz giriş akışını ve oturum çerezini dinleyebilir; çerezde Secure özelliği bulunmadığı ve yanıtlarda HSTS başlığı yer almadığı için bu bilgilerle çekirdek API oturumlarını ele geçirebilir.
Kaynaktaki açıklama (İngilizce)
SiYuan 3.6.0 before 3.8.7 accepts and persists the networkServeTLS setting but never enforces it, so the kernel port keeps serving full API access over plain HTTP alongside HTTPS. Network-adjacent attackers can sniff the cleartext login flow and session cookie, which lacks the Secure attribute while responses omit HSTS, to hijack kernel API sessions.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| siyuan-note siyuan | ≥ 3.6.0, < 3.8.7 | 3.8.7 |
| 3.8.7 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.