CVE-2026-72791
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
SiYuan v3.7.4-alpha.1 (wersja przedpremierowa; punkt końcowy nie istnieje w stabilnej wersji v3.7.3 ani wcześniejszych) zawiera podatność na ujawnienie informacji w punkcie końcowym /api/av/getAttributeViewFieldViews. Trasa jest zarejestrowana tylko z CheckAuth i nie stosuje żadnego filtrowania dostępu do publikacji, więc wywołujący z rolą czytelnika mogą pobrać kompletną strukturę widoku bazy danych — nazwę każdego widoku, ikonę, typ układu i flagę Hidden dla każdego pola — dla dowolnej bazy danych, której avID zostanie podany, niezależnie od autoryzacji. Problem został wprowadzony przez commit acfc02ee8 i naprawiony w v3.7.4.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do struktury widoków baz danych, co może ujawnić poufne informacje o organizacji danych.
Rekomendacja
Zaleca się aktualizację do wersji 3.7.4 lub nowszej, która zawiera poprawkę tej podatności.
Oryginalny opis (angielski, źródło NVD)
SiYuan v3.7.4-alpha.1 (a pre-release; the endpoint does not exist in stable v3.7.3 or earlier) contains an information disclosure vulnerability in the /api/av/getAttributeViewFieldViews endpoint. The route is registered with CheckAuth only and applies no publish-access filtering, so reader-role callers can retrieve the complete database view structure — every view's name, icon, layout type, and per-field Hidden flag — for any database whose avID is supplied, regardless of authorization. The issue was introduced by commit acfc02ee8 and fixed in v3.7.4.