SiYuan WebSocket 解析差异致免认证访问

GitHub 安全公告库披露 SiYuan 存在 WebSocket 解析差异漏洞（GHSA-c8w8-3pqp-wr83）：未认证远程调用者可接入内核广播池并收到实时事件流。 公告称，保活豁免用字符串包含匹配 URI，会话隔离用 Query().Get("id") 解析，重复参数使同一 URI 既满足豁免又被解析为非认证会话；利用无需 cookie、JWT 或访问授权码，前提是暴露内核端口且设置了 --accessAuthCode。公告称观察到的帧中不含文档正文内容。 公告建议让两处检查保持一致，并在准入后停止重新解析攻击者可控输入。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。