CVE-2026-72810
WysokieCVSS 8.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją v3.7.4 zawiera podatność obejścia granic publikacji w sesjach WebSocket, która pozwala anonimowym czytelnikom otrzymywać niefiltrowane edycje. Atakujący może nawiązać połączenie WebSocket z powierzchnią publikacji i pasywnie odbierać zdarzenia treści w czasie rzeczywistym, w tym dokumenty chronione hasłem i zabronione, bez uwierzytelnienia.
Ocena ryzyka
Osoby nieuprawnione mogą uzyskać dostęp do poufnych treści, które powinny być chronione, co narusza poufność danych i może prowadzić do wycieku informacji.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji v3.7.4 lub nowszej oraz wdrożenie uwierzytelniania dla połączeń WebSocket.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.4 contain a publish-boundary bypass vulnerability in WebSocket broadcast sessions that allows anonymous readers to receive unfiltered edits. Attackers can establish a WebSocket connection to the publish surface and passively receive real-time content events including password-protected and forbidden documents without authentication.