Qué es y cómo funciona
La vulnerabilidad CVE-2026-126264 en SiYuan permite a usuarios autenticados con rol Reader eludir las protecciones de rutas sensibles en la función getFile. Los atacantes pueden solicitar paths como /data/widgets/<package>/credentials.json para widgets referenciados en publicaciones, obteniendo así claves de API, tokens u otros secretos almacenados.
Productos y versiones afectadas
Todas las versiones de SiYuan anteriores a la 3.8.9 están afectadas.
Impacto y probabilidad de explotación
La vulnerabilidad tiene un CVSS de 7.7 (alto) y clasifica como CWE-200 (Exposición de Información). Según EPSS, existe un 0.5% de probabilidad de explotación real en los próximos 30 días (percentil 41%). Actualmente, Shodan no reporta hosts expuestos en internet con esta vulnerabilidad detectada.
Qué hacer
Los usuarios de SiYuan deben actualizar inmediatamente a la versión 3.8.9 o superior para parchar la vulnerabilidad.
| CVE | CVE-2026-126264 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.7 / 10 |
| EPSS | 0.5% en 30 días (percentil 41) |
| CWE | CWE-200 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.