What is CVE-2026-74867?
A CSRF vulnerability exists in SiYuan note-taking software versions before 3.7.4, due to the session-cookie authentication branch of CheckAuth() lacking Origin/Referer validation and not setting an explicit SameSite attribute on session cookies. Attackers can craft malicious web pages to perform unauthorized actions on behalf of authenticated users. Users are advised to upgrade to version 3.7.4 or later to mitigate this risk.
Azərbaycanca: SiYuan qeyd proqramının 3.7.4-dən əvvəlki versiyalarında CheckAuth() sessiya-çərəz autentifikasiya budağında Origin/Referer yoxlamasının olmaması səbəbindən cross-site request forgery (CSRF) zəifliyi aşkarlanıb. Təcavüzkarlar zərərli veb səhifələr vasitəsilə istifadəçinin icazəsi olmadan əməliyyatlar apara bilər, çünki sessiya çərəzlərində SameSite atributu açıq şəkildə təyin edilməyib. Bu zəiflikdən qorunmaq üçün SiYuan-ı 3.7.4 və ya daha yuxarı versiyaya yeniləmək tövsiyə olunur.
Related CVEs
link basis: same weakness class CWE-352
FAQ2
Which versions of SiYuan are affected by CVE-2026-74867?
Versions of SiYuan before 3.7.4 are affected by this CSRF vulnerability.
What is the root cause of CVE-2026-74867?
The root cause is the lack of Origin/Referer validation in the session-cookie authentication branch of CheckAuth() and the absence of an explicit SameSite attribute on session cookies.
See also6
This explainer is AI-written from source data — skopnix's own reporting on this CVE; CVSS scores, vendors and versions are never invented. See NVD for the official record.