CVE-2026-69085 in siyuan
الملخص
بحسب VulDB • 03/08/2026
تحتوي SiYuan قبل الإصدار v3.7.3 على ثغرة حقن SQL في نقطة النهاية /api/filetree/searchDocs، حيث يتم دمج معلمة الكلمة الرئيسية المقدمة من المتصل مباشرةً داخل عبارات SQL دون أي تهريب (escaping) أو ربط للمعاملات (parameter binding). يمكن الوصول إلى نقطة النهاية باستخدام رمز RoleReader للنشر، أو بدون مصادقة عند تفعيل وضع النشر مع تعيين Publish.Auth.Enable على false. ونظراً لأن العبارة تُنفَّذ عبر مقبض SQLite للقراءة والكتابة بواسطة محرك يدعم العبارات المتراكمة (المفصولة بنقطتين منقوطين)، يمكن للمهاجم قراءة وتعديل محتوى قاعدة البيانات عبر جميع الدفاتر غير المشفرة (غير المشفرة) على المثيل.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.