CVE-2026-69084 in siyuan
الملخص
بحسب VulDB • 03/08/2026
تعرض إصدارات SiYuan التي لا تتجاوز الإصدار v3.7.2 نقطة النهاية `/api/search/searchEmbedBlock`، والتي تمرر جملة SQL المقدمة من العميل كما هي إلى معالج قاعدة البيانات الرئيسي `siyuan.db` للقراءة والكتابة دون فرض أي قيود مثل تنفيذ جملة واحدة فقط أو وضع القراءة فقط أو صلاحيات المسؤول. لا يتم تأمين هذه النقطة إلا بواسطة دالة `CheckAuth`، مما يجعلها متاحة لمستخدمي رمز الدور `RoleReader` وللمجهولين عندما يكون مصادقة النشر معطلة. ونظراً لأن محرك قاعدة البيانات الأساسي يسمح بتنفيذ جمل SQL متعددة ومكدسة (stacked statements)، يمكن للمهاجم قراءة وتعديل المحتوى عبر جميع دفاتر الملاحظات المفتوحة بصيغة نص واضح (باستثناء الدفاتر المشفرة لكل صندوق). تم إصلاح هذه الثغرة في الإصدار v3.7.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.