CVE-2026-73609
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w punkcie końcowym getBookmarkLabels, który zwraca wszystkie etykiety zakładek w przestrzeni roboczej bez filtrowania pod kątem dostępu publikacji. Anonimowi czytelnicy oraz czytelnicy w trybie publikacji mogą uzyskać pełny słownik etykiet zakładek w całej przestrzeni roboczej, ujawniając tematykę i informacje organizacyjne z niedostępnych dokumentów.
Ocena ryzyka
Osoby nieuprawnione mogą poznać tematykę dokumentów, do których nie mają dostępu, co może prowadzić do naruszenia poufności informacji organizacyjnych.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji v3.7.4 lub nowszej, która zawiera poprawkę filtrowania dostępu do etykiet zakładek.
Oryginalny opis (angielski, źródło NVD)
SiYuan versions before v3.7.4 contain an information disclosure vulnerability in the getBookmarkLabels endpoint that returns all bookmark labels in the workspace without publish-access filtering. Anonymous readers and publish-mode readers can obtain the complete bookmark vocabulary across the workspace, disclosing subject matter and organizational information from inaccessible documents.