Qué es y cómo funciona la falla
La vulnerabilidad CVE-2026-126265 afecta al sistema de autenticación del software de notas SiYuan. La falla reside en que el desafío CAPTCHA de inicio de sesión (loginAuth) se almacena en una cookie firmada del lado del cliente. Esto permite a un atacante reutilizar (replay) un desafío ya resuelto, firmado en la cookie siyuan, para realizar múltiples intentos con distintos códigos de acceso incorrectos y así forzar bruscamente (brute-force) el código correcto.
Productos y versiones afectadas
La vulnerabilidad está presente en las versiones de SiYuan 2.1.0 hasta la 3.8.9.
Impacto y probabilidad de explotación
Un ataque exitoso permitiría a un atacante ganar una sesión de administrador en el sistema. La severidad de la vulnerabilidad es alta, con una puntuación CVSS de 7.4. Según el modelo EPSS, la probabilidad de que sea explotada activamente en los próximos 30 días es del 0.4% (percentil 30%). Actualmente, no hay hosts expuestos detectados públicamente en Shodan.
Qué hacer
Esta vulnerabilidad ha sido catalogada como crítica/alta por el NVD en las últimas 24 horas. Los usuarios de SiYuan deben actualizar a una versión posterior a la 3.8.9 para mitigar el riesgo.
| CVE | CVE-2026-126265 |
|---|---|
| Severidad | HIGH |
| CVSS | 7.4 / 10 |
| EPSS | 0.4% en 30 días (percentil 30) |
| CWE | CWE-307 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Producto afectado
Producto derivado de la descripción (el CPE estructurado de NVD aún no está publicado).