CVE-2026-54069 PoC — SiYuan 输入验证错误漏洞
关联漏洞
标题:
SiYuan 输入验证错误漏洞
(CVE-2026-54069)
Description:SiYuan是SiYuan团队开源的一个个人知识管理系统。 SiYuan 3.7.0之前版本存在输入验证错误漏洞，该漏洞源于内核HTTP服务器无条件信任所有chrome-extension://来源，导致任何浏览器扩展无需身份验证即可获得RoleAdministrator权限，结合桌面安装默认的空白AccessAuthCode，任何Chrome/Chromium扩展（包括通过供应链攻击受损的合法扩展）可以对127.0.0.1:6806上的SiYuan内核进行完全认证的管理API调用，从而实现数据渗漏、存储
Description
SiYuan Note 3.6.5 and prior is vulnerable to authentication bypass. The CheckAuth middleware unconditionally trusted all chrome-extension:// origins, granting RoleAdministrator access without token validation to any request with a spoofed Origin header. Fixed in v3.7.0.
文件快照
备注
1. 建议优先通过来源进行访问。
2. 本地 POC 快照面向订阅用户开放；当原始来源失效或无法访问时，本地镜像作为订阅权益的一部分提供。
3. 持续抓取、验证、维护这份 POC 档案需要不少投入，因此本地快照已纳入付费订阅。您的订阅是让这份资料能继续走下去的关键，由衷感谢。 查看订阅方案 →