CVE-2026-72792
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją 3.7.4 zawiera podatność na ujawnienie informacji w punkcie końcowym /api/tag/getTag, który zwraca etykiety tagów i liczbę wystąpień z dokumentów chronionych hasłem nieuwierzytelnionym czytelnikom. Atakujący mogą wyliczyć słownictwo tagów i wewnętrzną terminologię z dokumentów chronionych hasłem, wywołując punkt końcowy tagów bez podawania hasła publikacji dokumentu.
Ocena ryzyka
Ryzyko obejmuje ujawnienie wewnętrznej terminologii i tagów z chronionych dokumentów, co może naruszyć poufność.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji 3.7.4 lub nowszej, aby naprawić brak kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 contains an information disclosure vulnerability in the /api/tag/getTag endpoint that returns tag labels and occurrence counts from password-protected documents to unauthenticated readers. Attackers can enumerate tag vocabulary and internal terminology from password-protected documents by calling the tag endpoint without providing the document's publish password.