CVE-2026-74903
ŚrednieCVSS 4.3Streszczenie
SiYuan przed wersją v3.7.4 zawiera podatność niewystarczającej kontroli dostępu w punkcie końcowym /api/lute/spinBlockDOM, który jest chroniony tylko przez middleware CheckAuth zamiast CheckAdminRole jak jego sąsiedni punkt końcowy. Uwierzytelnieni użytkownicy z rolami RoleEditor lub RoleReader mogą wywołać punkt końcowy do transformacji dowolnego wejścia DOM, a duże ładunki powodują zagłodzenie punktu końcowego przez serializację mutex per-ścieżka.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do funkcji transformacji DOM, co może prowadzić do modyfikacji treści lub ataków DoS. Użytkownicy z ograniczonymi rolami mogą wykorzystać podatność do zakłócenia działania usługi.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji v3.7.4 lub nowszej, która zawiera poprawkę. Należy również przejrzeć kontrolę dostępu do punktów końcowych i upewnić się, że wymagają one odpowiednich ról.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 contains an insufficient access control vulnerability in the /api/lute/spinBlockDOM endpoint, which is guarded only by CheckAuth middleware instead of CheckAdminRole like its sibling endpoint. Authenticated users with RoleEditor or RoleReader roles can invoke the endpoint to transform arbitrary DOM input, and large payloads cause endpoint starvation through per-path mutex serialization.