GitHub 安全公告库 (GHSA)·· 2 小时前精选AI 评分58
SiYuan 因 WebSocket 保活豁免与会话隔离解析差异可免认证读取广播事件流
SiYuan: A parser differential between the WebSocket keepalive exemption and the session quarantine allows unauthenticated access to the broadcast event stream
AI 导读
SiYuan 的 WebSocket 保活豁免用字符串包含匹配 URI，而会话隔离用 Query().Get("id") 解析，重复参数使同一 URI 既满足豁免又解析为非认证会话，未认证远程调用者可接入内核广播池并收到实时事件流。
为什么值得看
同一条 URI 被两处检查以不同方式解析，导致免认证接入内核事件流，文中给出三条连接对照的复现结果。
来源：GitHub 安全公告库 (GHSA) · github.com