CVE-2026-73056: Kritisk fejl i SiYuan giver admin-adgang

SiYuan er et open source noteprogram, der ofte selv-hostes af virksomheder til intern videndeling og dokumentation. Sårbarheden CVE-2026-73056 sidder i den funktion, der tjekker adgangskoder (CheckAuth-middleware). Programmet accepterer et API-token, en hemmelig nøgle der giver adgang uden login, både via en header og via et almindeligt link-parameter. Ingen af de to metoder er beskyttet af den lås, der normalt stopper gentagne fejlslagne loginforsøg. Det betyder, at en angriber kan afprøve tusindvis af tokens automatisk, uden at blive spærret ude. Lykkes gættet, får angriberen fuld administratoradgang til systemet.

Alle, der kører SiYuan kernel i version før 3.7.4, og som har gjort programmets API tilgængeligt fra internettet, for eksempel via en reverse proxy eller portåbning. Risikoen er størst, hvis der er sat et kort eller simpelt brugerdefineret token op i stedet for et langt, tilfældigt genereret token. Danske virksomheder og kommuner, der bruger SiYuan som intern videnbase, projektdokumentation eller notatsystem på egen server, er de primære berørte.

Får en angriber gættet tokenet rigtigt, opnår vedkommende rollen RoleAdministrator, den højeste rettighed i systemet. Herfra kan angriberen læse, ændre og slette alle filer i noteprogrammet, køre vilkårlige databaseforespørgsler og dermed trække al data ud, herunder fortrolige dokumenter, kundeoplysninger eller interne beslutninger. Data kan også blive krypteret eller slettet som led i afpresning.

CVSS-scoren er 9,8 ud af 10, kritisk. Angrebet kræver hverken login, særlige rettigheder eller at en bruger klikker på noget. Det kan udføres fuldt automatisk over netværket af en hvilken som helst angriber, der kan nå serverens API. Kombinationen af lav kompleksitet og høj konsekvens for fortrolighed, integritet og tilgængelighed gør det til en af de mest alvorlige sårbarhedstyper, der findes.

Følgende trin lukker hullet og begrænser skaden, hvis systemet allerede har været udsat.

1. Opdatér SiYuan kernel til version 3.7.4 eller nyere, hvor CAPTCHA og lockout-mekanismen også dækker header- og query-baseret token-login.
2. Skift jeres API-token til en lang, tilfældigt genereret værdi, uanset om I opdaterer med det samme eller ej.
3. Fjern eller begræns adgangen til API’et fra internettet, så det kun kan tilgås via VPN eller intern netværk, indtil opdateringen er installeret.
4. Gennemgå adgangslogs for usædvanligt mange loginforsøg eller mislykkede token-forsøg i perioden op til offentliggørelsen.
5. Tag en sikkerhedskopi og vurdér, om filer eller database bærer spor af uautoriseret adgang, hvis logs viser mistænkelig aktivitet.
6. Kontakt en sikkerhedsrådgiver, hvis I finder tegn på indbrud, eller hvis I er usikre på, om jeres opsætning er eksponeret.