CVE-2026-72803
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją 3.7.4 nie egzekwuje kontroli dostępu do publikacji w punktach końcowych getBlockAttrs i batchGetBlockAttrs. Atakujący mogą pobierać atrybuty bloków, w tym nazwy, aliasy, notatki i pola niestandardowe, z chronionych dokumentów, wysyłając żądania POST z identyfikatorami bloków.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym ujawnieniu atrybutów bloków z chronionych dokumentów, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji 3.7.4 lub nowszej, aby naprawić brak kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.4 fail to enforce publish-access checks in the getBlockAttrs and batchGetBlockAttrs endpoints. Attackers can retrieve block attributes including names, aliases, memos, and custom fields from protected documents by sending POST requests with block IDs.