CVE-2026-74906
WysokieCVSS 7.5Streszczenie
SiYuan przed wersją v3.7.4 zawiera podatność na nieprawidłową autoryzację w ośmiu punktach końcowych trybu publikacji, które filtrują wyniki za pomocą listy widoczności zamiast listy wyłączonych. Anonimowi odwiedzający mogą odkrywać i czytać treści z dokumentów oznaczonych jako zabronione do publikacji, uzyskując dostęp do punktów końcowych wyszukiwania, linków zwrotnych, treści zasobów, zapisanych kryteriów, ostatnich dokumentów, grafu i tagów.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowany dostęp do poufnych treści, które miały być ukryte przed publicznym odczytem, co może prowadzić do wycieku danych.
Rekomendacja
Zaleca się aktualizację SiYuan do wersji v3.7.4 lub nowszej oraz weryfikację konfiguracji uprawnień publikacji.
Oryginalny opis (angielski, źródło NVD)
SiYuan before v3.7.4 contains an incorrect authorization vulnerability in eight publish-mode reader-facing endpoints that filter results using the visibility list instead of the disabled list. Anonymous visitors can discover and read content from documents explicitly marked as forbidden from publishing by accessing search, backlink, asset content, saved criteria, recent documents, graph, and tag endpoints.