CVE-2026-72806
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją 3.7.4 zawiera podatność na ominięcie uwierzytelnienia w filtrze FilterViewByPublishAccess, który nie sprawdza ochrony hasłem publikacji podczas renderowania widoków atrybutów i wierszy bazy danych. Niezalogowani czytelnicy mogą uzyskać dostęp do chronionych hasłem wierszy dokumentów, w tym tytułów, identyfikatorów bloków i wartości kolumn, wywołując renderAttributeView bez podania wymaganego hasła.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do poufnych danych przechowywanych w chronionych dokumentach, co może prowadzić do wycieku informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację SiYuan do wersji 3.7.4 lub nowszej, która zawiera poprawkę tej podatności.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.4 contain an authentication bypass vulnerability in the FilterViewByPublishAccess filter that fails to check publish password protection when rendering attribute views and database rows. Unauthenticated readers can access password-protected document rows including titles, block IDs, and column values by calling renderAttributeView without supplying the required password.