Veille sécuritéBackend & données
P3Élevée
Une validation insuffisante de l’URL dans l’endpoint authentifié `/api/network/forwardProxy` permet à un utilisateur authentifié de faire effectuer au serveur des requêtes HTTP vers des destinations arbitraires et d’en récupérer la réponse. Cela expose notamment les ressources internes et les services de métadonnées cloud ; mettre à niveau SiYuan vers la version 3.6.0 ou ultérieure.
Go
IdentifiantCVE-2026-32110
GravitéÉlevée
Exploitationnon connue / non déterminée
Correctif3.6.0
Source : GHSA-56cv-c5p2-j2wg — SiYuan has a Full-Read SSRF via /api/network/forwardProxy
Analyse technique
L’endpoint accepte une URL contrôlée par l’utilisateur, sans filtrage des destinations internes, et renvoie le corps et les en-têtes de la réponse.
Impact, versions et correctif
Événement datéL’avis a été mis à jour le 2026-11-05 à 21:33:13Z, dans la période demandée ; il s’agit d’un avis publié antérieurement, pas d’une nouvelle publication ce jour-là.
ImpactRequêtes depuis le serveur vers des réseaux internes ou des services de métadonnées cloud, avec possibilité de lire les réponses.
Versions affectées<= 3.5.9
Version corrigée3.6.0
Exploitation activenon connue / non déterminée
PoC publicinconnu
CVSS8.3
EPSS0,35% · percentile 29,3%
Publication2026-03-12T14:23:14Z
Mise à jour2026-11-05T21:33:13Z
Action recommandée
Mettre à niveau SiYuan vers la version 3.6.0 ou ultérieure.
Sources
Priorisation DFS : P3 · 1 source(s).