CVE-2026-72790
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją 3.7.4 zawiera podatność ujawniania informacji w punkcie końcowym /api/notebook/getNotebookInfo, który zwraca metadane notatnika bez kontroli autoryzacji. Atakujący mogą odczytać nazwy notatników, liczbę dokumentów, rozmiary i znaczniki czasu dla zamkniętych lub nieopublikowanych notatników, które powinny być ukryte przed czytelnikami.
Ocena ryzyka
Ryzyko polega na nieautoryzowanym dostępie do poufnych metadanych notatników, co może ujawnić informacje o strukturze i zawartości prywatnych notatek organizacji.
Rekomendacja
Zaleca się natychmiastową aktualizację SiYuan do wersji 3.7.4 lub nowszej oraz wdrożenie kontroli dostępu na poziomie API.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 contains an information disclosure vulnerability in the /api/notebook/getNotebookInfo endpoint that returns notebook metadata without authorization checks. Attackers can read notebook names, document counts, sizes, and timestamps for closed or non-published notebooks that should be hidden from readers.