CVE-2026-72797
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją 3.7.4 zawiera podatność na ujawnienie informacji w punkcie końcowym getEncryptedNotebookStatus, który zwraca identyfikatory, nazwy i stany blokady zaszyfrowanych notatników bez filtrowania dostępu do publikacji. Anonimowi czytelnicy i konta w trybie publikacji mogą wyliczyć wszystkie zaszyfrowane notatniki i ich aktualny stan odblokowania, ujawniając wrażliwe nazwy notatników i stan deszyfrowania w pamięci.
Ocena ryzyka
Ryzyko obejmuje ujawnienie nazw zaszyfrowanych notatników i ich stanu, co może pomóc atakującym w dalszych atakach.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji 3.7.4 lub nowszej, aby zapobiec ujawnianiu informacji o notatnikach.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.4 contain an information disclosure vulnerability in the getEncryptedNotebookStatus endpoint that returns encrypted notebook identifiers, names, and lock states without publish-access filtering. Anonymous readers and publish-mode accounts can enumerate all encrypted notebooks and their current unlock status, revealing sensitive notebook names and decryption state in memory.