CVE-2026-74799

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.3
EPSS: 0.4%
CWE: CWE-215
KEV Durumu: Hayır

Yayım tarihi: 17 Ağustos 2026

SiYuan 3.7.4 sürümünden önce, --mode bayrağı tam olarak prod olarak ayarlanmadığında, yığın ve goroutine dökümleri dahil Go net/http/pprof hata ayıklama uç noktalarını kimlik doğrulaması olmadan kaydeder. Saldırganlar, AccessAuthCode ve AI sağlayıcı API anahtarları dahil olmak üzere bellekteki gizli bilgileri çıkarmak için /debug/pprof/heap ve ilgili uç noktalarına erişebilir.

Orijinal açıklama (İngilizce)

SiYuan before 3.7.4 registers Go net/http/pprof debug endpoints including heap and goroutine dumps without authentication when --mode flag is not set to exactly prod. Attackers can access /debug/pprof/heap and related endpoints to extract in-memory secrets including AccessAuthCode and AI provider API keys.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.