What is CVE-2026-73054?

SiYuan note-taking application versions before 3.7.4 contain an authentication bypass vulnerability in the WebSocket endpoint. The issue arises from differential parsing of query parameters between authentication exemption and session quarantine checks, allowing unauthenticated attackers to gain access via a crafted WebSocket URI with duplicated query elements. Affected users should immediately upgrade to SiYuan version 3.7.4 or later.

Azərbaycanca: SiYuan qeyd dəftəri tətbiqinin 3.7.4 versiyasından əvvəlki versiyalarında WebSocket üçün təsdiqləmə bypass zəifliyi mövcuddur. Bu, sorğu parametrlərinin təsdiqləmə istisnası ilə sessiya karantin yoxlamaları arasında fərqli parse edilməsi səbəbindən baş verir ki, bu da autentifikasiyasız hücumçulara təkrarlanan sorğu elementi ilə zərərli WebSocket URI-si vasitəsilə giriş əldə etməyə imkan verir. Təsirlənən istifadəçilər dərhal SiYuan'u ən azı 3.7.4 versiyasına yeniləməlidirlər.