CVE-2026-66012

सारांश

SiYuan v3.7.2 से पहले के संस्करण में POST /mcp कर्नेल एंडपॉइंट में एक अनुपस्थित प्राधिकरण भेद्यता (missing authorization vulnerability) मौजूद है, जो केवल एक सामान्य प्रमाणीकरण जांच (model.CheckAuth) द्वारा सीमित है, जिसमें कोई एडमिन-रोल या रीड-ओनली प्रवर्तन नहीं है। यह 31 MCP टूल्स को उजागर करता है, जिसमें पूरे वर्कस्पेस में list/read/write/delete/rename/copy क्रियाओं वाला एक फ़ाइल टूल भी शामिल है। जब Publish सर्वर अनाम मोड (Conf.Publish.Enable=true और Conf.Publish.Auth.Enable=false) में सक्षम होता है, तो Publish रिवर्स प्रॉक्सी प्रॉक्सी किए गए अनुरोधों में एक अनाम RoleReader JWT संलग्न करता है, जिससे एक दूरस्थ अनप्रमाणित हमलावर /mcp तक पहुँच सकता है। हमलावर conf/conf.json पढ़कर accessAuthCode, api.token, और cookieKey को सादे पाठ (plaintext) में निकाल सकता है, वर्कस्पेस में मनमानी फ़ाइलें लिख सकता है, और data/plugins/ में एक प्लगइन स्थापित कर सकता है जो अगले डेस्कटॉप लॉन्च पर nodeIntegration:true और बिना contextIsolation के निष्पादित होता है, जिससे एडमिनिस्ट्रेटर का अधिग्रहण (administrator takeover) हो जाता है।

• siyuan-mcp-admin-takeover-cve-2026-66012-missing-authorizationएक्सप्लॉइट

  CVE-2026-66012 के लिए बिना प्रमाणीकरण के व्यवस्थापक अधिग्रहण शोषण, जो क्रेडेंशियल्स को बाहर निकालने और रिमोट कोड निष्पादन प्राप्त करने के लिए MCP में अनुपस्थित प्राधिकरण का उपयोग करता है।

• 1day-archiveअनुसंधान