SiYuan'da TLS ayarı uygulanmıyor, API oturumları ele geçirilebiliyor

SiYuan’da CVE-2026-116166 olarak izlenen kusur, TLS için etkinleştirilen networkServeTLS ayarının kabul edilip saklanmasına rağmen uygulanmamasına neden oluyor. Bu nedenle kernel portu, HTTPS’in yanı sıra tam API erişimini düz HTTP üzerinden de sunmayı sürdürüyor. Sorun, SiYuan 3.6.0’dan 3.8.7 öncesine kadar olan sürümleri etkiliyor.

Ağ üzerinden erişebilen saldırganlar, şifrelenmemiş giriş akışını ve oturum çerezini gözlemleyebiliyor. Kayda göre çerez Secure niteliğine sahip değil; yanıtlar da HSTS içermiyor. Bu koşullar, kernel API oturumlarının ele geçirilmesine imkân verebiliyor.

Kusurun istismar edilip edilmediğine ilişkin durum bilinmiyor. Ancak TLS ayarının etkin göründüğü bir kurulumda API trafiğinin düz HTTP üzerinden devam etmesi, SiYuan’ı ağ üzerinden erişilebilir biçimde çalıştıran geliştirici, sistem yöneticisi ve ekipler için doğrudan oturum güvenliği riski oluşturuyor.

Kaynak: https://nvd.nist.gov/vuln/detail/CVE-2026-116166

Bu içerik GPT-5.6-LUNA modeli ile hazırlandı.