CVE-2026-74904
WysokieCVSS 7.5Streszczenie
SiYuan przed wersją v3.7.4 nie ma kontroli autoryzacji w 17 punktach końcowych metadanych/treści bloków w kernel/api/block.go (w tym getRefText, checkBlockExist i getBlockBreadcrumb). Te procedury obsługi są chronione tylko podstawowym uwierzytelnieniem (model.CheckAuth) i nie mają filtrowania dostępu do publikacji, co pozwala anonimowym czytelnikom trybu publikacji na ujawnianie prywatnych treści bloków, metadanych strukturalnych i informacji o istnieniu dowolnych identyfikatorów bloków w całym obszarze roboczym.
Ocena ryzyka
Ryzyko obejmuje ujawnienie prywatnych danych i metadanych użytkowników, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji v3.7.4 lub nowszej oraz wdrożenie odpowiednich kontroli dostępu dla punktów końcowych bloków.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 is missing authorization checks in 17 block metadata/content endpoints in kernel/api/block.go (including getRefText, checkBlockExist, and getBlockBreadcrumb). These handlers are gated only by basic authentication (model.CheckAuth) and lack publish-access filtering, allowing anonymous publish-mode readers to disclose private block content-derived text, structural metadata, and existence information for arbitrary block IDs across the workspace.