CVE-2026-69083
KrytyczneCVSS 10.0Streszczenie
SiYuan przed wersją v3.7.3 zawiera luki wstrzyknięcia SQL w punkcie końcowym fullTextSearchAssetContent, osiągalnym przez nieuwierzytelnionych użytkowników i tokeny publish RoleReader. Atakujący mogą wykonać dowolne SQL na bazie danych asset-content z możliwością odczytu i zapisu za pomocą nieescapowanych parametrów metod i klauzul REGEXP, aby odczytać, zmodyfikować lub usunąć dane między notatnikami.
Ocena ryzyka
Ryzyko obejmuje odczyt, modyfikację lub usunięcie danych w notatnikach, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się natychmiastową aktualizację SiYuan do wersji v3.7.3 lub nowszej oraz wdrożenie walidacji danych wejściowych i parametryzacji zapytań SQL.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.3 contain SQL injection vulnerabilities in the fullTextSearchAssetContent endpoint reachable by unauthenticated users and publish RoleReader tokens. Attackers can execute arbitrary SQL on the read-write asset-content database via unescaped method parameters and REGEXP clauses to read, modify, or delete cross-notebook data.