Podatności SiYuan

SiYuan przed wersją 3.7.4 zawiera podatność na ominięcie uwierzytelnienia w filtrze FilterViewByPublishAccess, który nie sprawdza ochrony hasłem publikacji podczas renderowania widoków atrybutów i wierszy bazy danych. Niezalogowani czytelnicy mogą uzyskać dostęp do chronionych hasłem wierszy dokumentów, w tym tytułów, identyfikatorów bloków i wartości kolumn, wywołując renderAttributeView bez podania wymaganego hasła.

SiYuan przed wersją 3.7.4 nie egzekwuje kontroli dostępu do publikacji na punktach końcowych getBlockBreadcrumb, getRefText i getBlockTreeInfos, co umożliwia ujawnienie chronionej treści dokumentów i metadanych. Anonimowi czytelnicy lub konta z rolą czytelnika publikacji mogą pobierać tytuły dokumentów, fragmenty treści bloków przodków, tekst referencji i metadane ścieżek dla dokumentów zabronionych do publikacji lub chronionych hasłem, podając identyfikatory bloków.

SiYuan w wersjach przed v3.7.4 nie weryfikuje poziomu hasła publikacji w endpointach getGraph i getLocalGraph, co pozwala anonimowym czytelnikom na pobieranie treści na poziomie bloków z dokumentów chronionych hasłem. Atakujący mogą wywołać te endpointy bez podawania hasła, aby odczytać chronioną treść dokumentu i pełną topologię referencji.

SiYuan przed wersją 3.7.4 nie egzekwuje kontroli dostępu do publikacji w punktach końcowych getBlockAttrs i batchGetBlockAttrs. Atakujący mogą pobierać atrybuty bloków, w tym nazwy, aliasy, notatki i pola niestandardowe, z chronionych dokumentów, wysyłając żądania POST z identyfikatorami bloków.

SiYuan przed wersją 3.7.4 zawiera podatność na ujawnienie informacji w punkcie końcowym resolveAssetPath, który zwraca bezwzględne ścieżki systemu plików bez modyfikacji dla żądań z samym CheckAuth. Atakujący mogą zbierać względne ścieżki zasobów z opublikowanych dokumentów i przesyłać je do resolveAssetPath, aby uzyskać bezwzględną ścieżkę katalogu roboczego serwera, ujawniając nazwę użytkownika systemu operacyjnego i układ instalacji.

SiYuan w wersjach przed v3.7.4 ujawnia materiał do wyprowadzania kluczy zaszyfrowanych notatników oraz zawinięte klucze danych przez nieuwierzytelnione endpointy w trybie publikacji. Atakujący mogą pobrać sól Argon2id, parametry kosztu, weryfikatory haseł i zawinięte klucze notatników, aby przeprowadzić nieograniczone ataki brute-force na hasło główne offline bez ograniczania szybkości.

SiYuan przed wersją 3.7.4 nie stosuje filtrowania dostępu do publikacji w punkcie końcowym getAttributeViewKeysByID, co pozwala uwierzytelnionym czytelnikom na pobieranie pełnych schematów kolumn bazy danych, w tym opisów, słowników wyboru i wyrażeń szablonów. Dodatkowo punkty końcowe getBlockDefIDsByRefText i getBlockRelevantIDs wyliczają identyfikatory bloków w całym obszarze roboczym bez ograniczeń publikacji, umożliwiając atakującym odkrycie prawidłowych identyfikatorów bloków poza granicami publikacji i dostęp do treści z ukrytych lub chronionych hasłem dokumentów.

SiYuan przed wersją 3.7.4 (dotknięte <=v3.7.2) nie egzekwuje filtrów dostępu do publikacji na pięciu punktach końcowych rozwiązywania ścieżek drzewa plików (getFullHPathByID, getHPathByID, getPathByID, getIDsByHPath i getHPathByPath). W trybie publikacji, gdy Publish.Auth.Enable jest fałszywe, nieuwierzytelniony (anonimowy) czytelnik — lub dowolny token czytelnika publikacji — może wywołać te punkty końcowe, aby wyliczyć pełne prywatne drzewo dokumentów, mapując nazwy notatników, hierarchie folderów i tytuły dokumentów oraz rozwiązywać ścieżki tytułów do identyfikatorów dokumentów, w tym dla dokumentów oznaczonych jako ukryte, chronione hasłem lub zabronione do publikacji.

SiYuan w wersjach przed v3.7.4 nie filtruje prawidłowo treści powiązanych baz danych w renderAttributeView, co pozwala anonimowym czytelnikom na dostęp do zawartości komórek Relation i Rollup z ukrytych lub chronionych hasłem baz danych. Atakujący mogą żądać opublikowanych baz danych, które odnoszą się do ograniczonych baz danych, aby pobrać wrażliwe treści, lub całkowicie ominąć filtrowanie wierszy, gdy pierwsza kolumna jest typu nie-blokowego.

SiYuan przed wersją 3.7.4 zawiera podatność na ujawnienie informacji w punkcie końcowym getEncryptedNotebookStatus, który zwraca identyfikatory, nazwy i stany blokady zaszyfrowanych notatników bez filtrowania dostępu do publikacji. Anonimowi czytelnicy i konta w trybie publikacji mogą wyliczyć wszystkie zaszyfrowane notatniki i ich aktualny stan odblokowania, ujawniając wrażliwe nazwy notatników i stan deszyfrowania w pamięci.

SiYuan przed wersją 3.7.4 zawiera podatność na ominięcie kontroli dostępu, gdzie trasy plików statycznych w mux serwera omijają kontrolę dostępu do publikacji egzekwowaną na API REST. Atakujący z tokenami czytelnika publikacji lub anonimowym dostępem w trybie z wyłączonym uwierzytelnianiem mogą czytać szablony, fragmenty i artefakty eksportu, bezpośrednio uzyskując dostęp do tras statycznych, które nie mają takich samych ograniczeń jak ich odpowiedniki w API REST.

SiYuan przed wersją 3.7.4 nie filtruje zawartości osadzonych bloków pod kątem uprawnień publikacji w endpointach getBlockDOMWithEmbed i getBlockDOMsWithEmbed. Atakujący mogą żądać opublikowanych bloków zawierających zapytania osadzone, aby bez autoryzacji czytać treść dokumentów chronionych hasłem, ukrytych lub zabronionych.

SiYuan przed wersją 3.7.4 udostępnia klucz podpisywania ciasteczek sesji przez endpoint /api/system/getConf nieuwierzytelnionym użytkownikom w trybie publikacji. Atakujący mogą pobrać wartość CookieKey i sfałszować prawidłowe ciasteczka sesji, aby podszyć się pod użytkowników lub uzyskać dostęp administracyjny.

SiYuan przed wersją 3.7.4 nie maskuje wrażliwych pól konfiguracyjnych w endpointcie /api/system/getConf, co pozwala anonimowym użytkownikom lub czytelnikom publikacji uzyskać klucz podpisywania ciasteczek sesji, nazwę użytkownika systemu operacyjnego przez ścieżkę pandoc oraz materiał klucza zaszyfrowanego notatnika. Atakujący mogą fałszować i manipulować ciasteczkami sesji, aby podszyć się pod użytkowników, a w przypadku instancji bez skonfigurowanych kodów dostępu eskalować do uprawnień administratora.

SiYuan przed wersją 3.7.4 zawiera podatność na ujawnienie informacji w punkcie końcowym /api/tag/getTag, który zwraca etykiety tagów i liczbę wystąpień z dokumentów chronionych hasłem nieuwierzytelnionym czytelnikom. Atakujący mogą wyliczyć słownictwo tagów i wewnętrzną terminologię z dokumentów chronionych hasłem, wywołując punkt końcowy tagów bez podawania hasła publikacji dokumentu.

SiYuan v3.7.4-alpha.1 (wersja przedpremierowa; punkt końcowy nie istnieje w stabilnej wersji v3.7.3 ani wcześniejszych) zawiera podatność na ujawnienie informacji w punkcie końcowym /api/av/getAttributeViewFieldViews. Trasa jest zarejestrowana tylko z CheckAuth i nie stosuje żadnego filtrowania dostępu do publikacji, więc wywołujący z rolą czytelnika mogą pobrać kompletną strukturę widoku bazy danych — nazwę każdego widoku, ikonę, typ układu i flagę Hidden dla każdego pola — dla dowolnej bazy danych, której avID zostanie podany, niezależnie od autoryzacji. Problem został wprowadzony przez commit acfc02ee8 i naprawiony w v3.7.4.

SiYuan przed wersją 3.7.4 zawiera podatność ujawniania informacji w punkcie końcowym /api/notebook/getNotebookInfo, który zwraca metadane notatnika bez kontroli autoryzacji. Atakujący mogą odczytać nazwy notatników, liczbę dokumentów, rozmiary i znaczniki czasu dla zamkniętych lub nieopublikowanych notatników, które powinny być ukryte przed czytelnikami.

SiYuan przed wersją 3.7.4 nieprawidłowo weryfikuje uprawnienia publikacji dla zaszyfrowanych notatników, traktując je domyślnie jako publicznie dostępne. Anonimowi czytelnicy mogą wyliczać i pobierać w pełni odszyfrowaną treść dokumentów z odblokowanych zaszyfrowanych notatników przez API publikacji bez uwierzytelniania lub materiału klucza.

SiYuan przed wersją 3.7.4 zawiera podatność ujawniania informacji w filtrze UILayout, który nie ogranicza prawidłowo stanu obszaru roboczego administratora przed czytelnikami publikacji. Nieuwierzytelnieni atakujący mogą pobrać otwarte dokumenty administratora, terminy wyszukiwania, ścieżki notatników i prywatne lokalizacje zasobów, wywołując punkt końcowy getConf bez uwierzytelnienia.

SiYuan przed wersją 3.7.3 nie waliduje parametru avID w endpointach odczytu widoku atrybutów, co umożliwia atakującym konstruowanie ścieżek traversal wychodzących poza katalog przechowywania danych. Uwierzytelnieni użytkownicy z uprawnieniami RoleReader lub anonimowi klienci (gdy uwierzytelnianie publikacji jest wyłączone) mogą odczytywać pliki JSON poza katalogiem widoku atrybutów, ujawniając zawartość bazy danych spoza zakresu.

SiYuan przed wersją 3.7.3 zawiera podatność na ujawnienie informacji w endpointach getHeadingDeleteTransaction, getHeadingLevelTransaction i getHeadingInsertTransaction, które zwracają DOM renderowanego bloku bez sprawdzania uprawnień dostępu do publikacji. Anonimowi czytelnicy lub tokeny RoleReader w trybie publikacji mogą podać identyfikator bloku nagłówka, aby odczytać pełną renderowaną treść dokumentów, które powinny być ograniczone.

SiYuan przed wersją 3.7.3 nie stosuje filtrów dostępu publikacji do endpointów treści getBacklinkDoc i getBackmentionDoc. Podczas gdy odpowiadające im endpointy listy backlinków filtrują dokumenty wyłączone z publikacji, endpointy treści (chronione tylko przez CheckAuth) tego nie robią. Czytelnik w trybie publikacji – w tym anonimowy, gdy Basic Auth jest wyłączone – może wywołać te endpointy bezpośrednio z identyfikatorem dokumentu wyłączonego z publikacji, aby pobrać jego renderowaną treść DOM oraz sprawdzić, czy dokument odwołuje się do danego bloku (oracle istnienia referencji).

SiYuan przed wersją v3.7.3 zawiera podatność na ujawnienie metadanych w punkcie końcowym /api/block/getBlockInfo. Anonimowi czytelnicy lub tokeny RoleReader mogą pobrać tytuł, notatnik, ścieżkę, ID korzenia i ikonę dokumentów oznaczonych jako wykluczone z publikacji.

SiYuan przed wersją 3.7.3 zawiera podatność na obejście uwierzytelniania w trybie publikacji. Endpointy zwracające treść, takie jak getHeadingChildrenDOM, getHeading*Transaction i getBacklinkDoc, nie wykonują sprawdzenia hasła, mimo że główny endpoint getDoc jest chroniony. Anonimowi atakujący mogą pobrać pełną treść dokumentów chronionych hasłem, uzyskując wewnętrzne identyfikatory bloków z endpointów dostępnych dla czytelników i wywołując niechronione endpointy treści, aby ominąć blokadę hasła.

Podatność w SiYuan przed wersją 3.7.2 nie ucieka wartości atrybutu Individual Attribute List title-img podczas renderowania obrazów okładek Galerii i Kanban, co pozwala na przechowywany cross-site scripting poprzez nieuciekającą interpolację atrybutu style. Atakujący z uprawnieniami edytora mogą wstrzyknąć procedury obsługi onload, które wykonują dowolny kod w rendererze Electron z pełnym dostępem do Node.js, gdy ofiary otworzą dotknięte dokumenty.

Podatność w SiYuan przed wersją 3.7.3 zawiera przechowywane i odbite podatności cross-site scripting w oczyszczaniu SVG, które pozwalają uwierzytelnionym atakującym na wykonanie skryptów poprzez ominięcie oczyszczarki opartej na parserze HTML. Atakujący mogą ukryć znaczniki skryptów w elementach desc, style lub noscript, które parser HTML traktuje jako surowy tekst, ale przeglądarki interpretują jako wykonywalną zawartość SVG, gdy są serwowane jako image/svg+xml, umożliwiając wykonanie skryptów w kontekście aplikacji.

SiYuan przed wersją 3.7.2 zawiera podatność na path traversal w gałęzi /export/temp/ handlera serveExport. Uwierzytelniony atakujący może użyć zakodowanych sekwencji nawigacyjnych, aby odczytać dowolne pliki poza katalogiem TempDir, w tym /etc/passwd, klucze SSH i pliki bazy danych.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 pozwala na wstrzyknięcie kodu JavaScript poprzez niebezpieczne interpolowanie wartości this.path do atrybutu innerHTML. Specjalnie spreparowany link assetu z cudzysłowem może przełamać atrybut src, wstrzyknąć procedurę obsługi zdarzenia i wykonać kod w procesie Electron.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 umożliwia uwierzytelnionemu administratorowi lub użytkownikowi z tokenem API kopiowanie poufnych plików konfiguracyjnych (np. .git-credentials, .netrc, .pgpass) do przestrzeni roboczej i ich eksfiltrację przez API plików. Problem wynika z niedostatecznej filtracji ścieżek źródłowych w funkcji util.IsSensitivePath.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 umożliwia użytkownikowi z rolą Reader w trybie publikacji odczytanie prywatnych ścieżek dokumentów, identyfikatorów notatników, dokumentów i bloków oraz słów kluczowych wyszukiwania i zamiany dla nieopublikowanych dokumentów. Problem wynika z braku filtrowania dostępu publikacyjnego w punkcie końcowym /api/storage/getCriteria.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 umożliwia nieuwierzytelnionemu gościowi wstrzyknięcie zapytania UNION SELECT do endpointu wyszukiwania bloków. Atakujący może odczytać ukryte dokumenty, manipulując wartościami ścieżek w żądaniu POST.

SiYuan przed wersją 3.7.1 zawiera podatność na przechowywany cross-site scripting (XSS) w mechanizmie renderowania HTML przez silnik Lute. Blokada niebezpiecznych schematów JavaScript nie sprawdza atrybutów form action ani SVG xlink:href, co umożliwia wykonanie poleceń systemowych w rendererze Electron.

Podatność w systemie zarządzania wiedzą SiYuan przed wersją 3.7.1 umożliwia odczyt plików poza katalogiem snippets. Błąd w obsłudze ścieżek w funkcji serveSnippets pozwala uwierzytelnionemu atakującemu na użycie sekwencji takich jak %2e%2e (..) w żądaniu, co prowadzi do ujawnienia sekretów obszaru roboczego i bazy danych dokumentów.

SiYuan to system zarządzania wiedzą, który przed wersją 3.7.0 miał punkt końcowy /api/icon/getDynamicIcon, który nie wymagał uwierzytelnienia. Atakujący mogą wykorzystać ten punkt końcowy do wykonania dowolnych zapytań SELECT w bazie danych SQLite SiYuan, co prowadzi do wycieku danych użytkowników.

SiYuan to otwartoźródłowy system zarządzania wiedzą osobistą. W wersjach przed 3.7.0, podatność pozwalała na odczyt dowolnych plików w WorkspaceDir przez nieautoryzowanego atakującego, wykorzystując podwójne kodowanie URL w trasie /assets/*path.

W systemie zarządzania wiedzą SiYuan przed wersją 3.6.2, usługa publikacji ujawnia zakładki z dokumentów chronionych hasłem nieuwierzytelnionym odwiedzającym. W trybie publikacji/tylko do odczytu, filtr FilterBlocksByPublishAccess traktuje kontekst nil jako autoryzowany, pomijając sprawdzenie hasła publikacji i zwracając zakładki z dokumentów oznaczonych jako chronione.