CVE-2026-73046: Kritisk loginfejl i SiYuan

CVE-2026-73046 er en sårbarhed i notesystemet SiYuan, der bruges til at organisere viden og dokumentation lokalt eller på egen server. Fejlen ligger i den funktion, der skal godkende brugere, kaldet CheckAuth(). Når man logger ind via HTTP Basic Authentication, en simpel loginmetode hvor brugernavn og kode sendes med hver forespørgsel, tjekker systemet ikke om der er lavet for mange forsøg, og det tæller ikke fejlslagne forsøg med. Det betyder, at en angriber kan afprøve adgangskoder automatisk og ubegrænset, indtil den rigtige er fundet. Adgangskoden sammenlignes desuden på en måde, der gør det lettere at gætte den ved at måle svartider.

Sårbarheden rammer alle, der kører SiYuan i en version ældre end 3.7.4, og hvor kernen (backend-serveren) er tilgængelig over netværket, for eksempel via en fjernserver, en NAS eller en cloud-installation. Det gælder både virksomheder, der bruger SiYuan til intern dokumentation, projektnoter eller videndeling, og enkeltpersoner med adgang til virksomhedsdata.

En angriber uden brugernavn eller kode kan afprøve adgangskoder mod systemet, indtil den rette findes, og derefter få fuld administratoradgang til hele SiYuan-installationen. Det giver adgang til at læse, ændre og slette alt indhold i arbejdsområdet, herunder interne dokumenter, projektdata og eventuelt personoplysninger eller forretningskritisk information, hvis det er lagret i systemet.

Sårbarheden har en CVSS-score på 9,8 ud af 10, hvilket er kritisk. Den kan udnyttes over netværket uden login og uden at en bruger skal klikke på noget eller foretage sig noget. Angriberen skal blot kunne nå serveren over internettet eller det interne netværk. Der er pr. offentliggørelsesdatoen ikke kendte tilfælde af aktiv udnyttelse, men fordi angrebet er simpelt at automatisere og ikke kræver forudgående adgang, bør det tages seriøst.

Sårbarheden er rettet, og det vigtigste er at opdatere systemet.

1. Opdatér SiYuan til version 3.7.4 eller nyere på alle installationer, både servere og lokale klienter der eksponerer kernen.
2. Skift adgangskoden (Conf.AccessAuthCode) til jeres SiYuan-arbejdsområde, så eventuelle allerede gættede koder ikke længere virker.
3. Begræns adgangen til SiYuan-kernen, så den kun kan nås fra betroede IP-adresser eller via VPN, i stedet for at være åben mod hele internettet.
4. Gennemgå logfiler for usædvanligt mange loginforsøg mod /api/*-adresser i perioden op til opdateringen.
5. Overvej to-faktor-godkendelse eller en ekstra netværksbarriere, hvis SiYuan indeholder forretningskritiske data.
6. Kontakt en it-sikkerhedsrådgiver, hvis I ikke selv kan afgøre, om systemet allerede er kompromitteret, eller hvis opdateringen kræver ændringer i jeres infrastruktur.