CVE-2026-72791 in SiYuan
Zusammenfassung
von VulDB • 12.08.2026
SiYuan v3.7.4-alpha.1 (eine Vorabversion; der Endpunkt ist nicht in stabilen Versionen ab v3.7.3 oder früher vorhanden) enthält eine Schwachstelle zur Offenlegung von Informationen im /api/av/getAttributeViewFieldViews-Endpunkt. Die Route wird nur mit CheckAuth registriert und wendet keine Filterung des Veröffentlichungszugriffs an, sodass Aufrufer mit der Leser-Rolle die vollständige Datenbankansichtstruktur – den Namen jedes Ansichts-, das Symbol, den Layouttyp und das pro Feld festgelegte Hidden-Flag (Ausgeblendet) – für jede beliebige Datenbank abrufen können, deren avID angegeben wird, unabhängig von der Autorisierung. Das Problem wurde durch den Commit acfc02ee8 eingeführt und in v3.7.4 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.