CVE-2026-73630
ŚrednieCVSS 5.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
SiYuan przed wersją v3.7.4 zawiera podatność na ujawnienie informacji w endpointcie /api/filetree/authFilePublishAccess, który jest zarejestrowany tylko z CheckAuth i dostępny anonimowo. Endpoint nigdy nie ustawia kodu błędu, więc wynik jest sygnalizowany przez komunikat odpowiedzi i obecność nagłówka Set-Cookie, które różnią się w zależności od poziomu dostępu. Anonimowy atakujący może rozróżnić, czy dokument jest publiczny/nieistniejący, chroniony hasłem, czy istnieje w ukrytej lub zabronionej warstwie, potwierdzając istnienie dokumentów, do których nie ma dostępu.
Ocena ryzyka
Anonimowy atakujący może potwierdzić istnienie ukrytych lub zabronionych dokumentów, co narusza poufność i może prowadzić do dalszych ataków.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji v3.7.4 lub nowszej. Należy również rozważyć dodanie odpowiednich kontroli dostępu do endpointu.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 contains an information disclosure vulnerability in the /api/filetree/authFilePublishAccess endpoint, which is registered with CheckAuth only and is reachable anonymously. The endpoint never sets a failure code, so its outcome is signalled entirely by the response message and by the presence of a Set-Cookie header, and these signals differ across access tiers. By submitting requests with an empty password for a candidate document identifier, an anonymous attacker can distinguish whether a document is public/nonexistent, password-protected, or exists at the hidden or forbidden tier, thereby confirming the existence of documents they are not permitted to access. Because hidden and forbidden entries store an empty password, such requests also cause the server to issue a publish-auth cookie for forbidden documents.