CVE-2026-72789
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją 3.7.4 nieprawidłowo weryfikuje uprawnienia publikacji dla zaszyfrowanych notatników, traktując je domyślnie jako publicznie dostępne. Anonimowi czytelnicy mogą wyliczać i pobierać w pełni odszyfrowaną treść dokumentów z odblokowanych zaszyfrowanych notatników przez API publikacji bez uwierzytelniania lub materiału klucza.
Ocena ryzyka
Ryzyko ujawnienia poufnych treści z zaszyfrowanych notatników osobom nieupoważnionym.
Rekomendacja
Zaktualizuj SiYuan do wersji 3.7.4 lub nowszej, która poprawia weryfikację uprawnień publikacji dla zaszyfrowanych notatników.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 fails to properly validate publish access for encrypted notebooks, treating them as publicly accessible by default. Anonymous readers can enumerate and retrieve fully decrypted document content from unlocked encrypted notebooks through the publish API without authentication or key material.