CVE-2026-72808 in SiYuan
الملخص
بحسب VulDB • 12/08/2026
تحتوي إصدارات SiYuan حتى الإصدار v3.7.2 (تم إصلاحها في الإصدار v3.7.4) على ثغرة كشف معلومات في نقطة النهاية `/api/asset/getFileAnnotation`، والتي تُرجع محتوى ملف التعليق التوضيحي PDF بتنسيق `.sya` دون التحقق من صلاحية النشر. ونظراً لأن نقطة النهاية هذه محمية فقط بواسطة `CheckAuth` (على عكس المسار `/assets/*` الذي يفرض الوصول للنشر وكلمة المرور)، يمكن للقارئ المجهول (عندما يكون مصادقة النشر معطلة) أو أي مستخدم يحمل دور "قارئ نشر" (`RoleReader`) ويعرف مسار الأصل قراءة التعليقات التوضيحية الخاصة لملفات PDF (التظليلات والملاحظات) في المستندات المحرمة من النشر، أو المحمية بكلمة مرور، أو غير المنشورة. تقتصر هذه المشكلة على الدفاتر غير المشفرة؛ حيث لا يتم كشف تعليقات صندوق التشفير (`encrypted-box`).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.