CVE-2026-72804
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
SiYuan w wersjach przed v3.7.4 nie weryfikuje poziomu hasła publikacji w endpointach getGraph i getLocalGraph, co pozwala anonimowym czytelnikom na pobieranie treści na poziomie bloków z dokumentów chronionych hasłem. Atakujący mogą wywołać te endpointy bez podawania hasła, aby odczytać chronioną treść dokumentu i pełną topologię referencji.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do chronionych dokumentów i ujawnienie wrażliwych informacji.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji v3.7.4 lub nowszej oraz wdrożenie odpowiedniej weryfikacji uprawnień w endpointach getGraph i getLocalGraph.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.4 fail to validate publish-password tier in getGraph and getLocalGraph endpoints, allowing anonymous readers to retrieve block-level content of password-protected documents. Attackers can call these endpoints without supplying a password to read protected document content and the complete reference topology.