SiYuan antes do v 3.8.0 interpola os marcadores de lugares secretos no parâmetro URL do destino da ferramenta http_ solicita MCP, permitindo que os atacantes exfiltrem segredos armazenados. Um cliente MCP pode criar um pedido com um URL controlado pelo atacante contendo marcadores de lugares secretos para enviar valores secretos de texto simples para qualquer hospedeiro público sem confirmação. Registro de aconselhamento: GHSA- 27 JW- 6 xjf- hgxj. Identificadores relacionados: CVE- 2026 - 59809.
Tempo: GitHub Advisory Database publicou este registro em 2026 - 08 - 22 T 15: 31: 02.000 Z e lista a sua última modificação como 2026 - 08 - 22 T 15: 31: 02.000 Z. Gravidade: MODERAR. Dados de pontuação publicados: CVSS_V 3: CVSS: 3.1 /AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:N/A:N; CVSS_V 4: CVSS: 4.0 /AV:N/AC:L/AT:N/PR:H/UI:N/VC:H/VI:N/VA:N/SC:N/SI:N/África do Sul:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/S:X/X/AU:X/R:X/V:X/RE:X/U:X.
Software afetado: o registro de aconselhamento não fornece um pacote normalizado ou faixa de versões. Classificação e evidência: identificadores de fraqueza CWE- 201. O registro contém 3 suporte de referências nestes tipos: WEB, AVISO.