CVE-2026-72795
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją 3.7.4 nie filtruje zawartości osadzonych bloków pod kątem uprawnień publikacji w endpointach getBlockDOMWithEmbed i getBlockDOMsWithEmbed. Atakujący mogą żądać opublikowanych bloków zawierających zapytania osadzone, aby bez autoryzacji czytać treść dokumentów chronionych hasłem, ukrytych lub zabronionych.
Ocena ryzyka
Ryzyko nieautoryzowanego dostępu do poufnych dokumentów, co może prowadzić do wycieku danych.
Rekomendacja
Zaktualizuj SiYuan do wersji 3.7.4 lub nowszej, która zawiera poprawkę filtrowania treści osadzonych bloków.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.4 fail to filter embedded block content by publish access in the getBlockDOMWithEmbed and getBlockDOMsWithEmbed endpoints. Attackers can request published blocks containing embed queries to read content from password-protected, hidden, or forbidden documents without authorization.