CVE-2026-72799 in SiYuan
Zusammenfassung
von VulDB • 12.08.2026
SiYuan vor Version v3.7.4 (betroffen <=v3.7.2) erzwingt keine Publish-Zugriffsfilter für fünf Endpunkte zur Auflösung von Filetree-Pfaden (getFullHPathByID, getHPathByID, getPathByID, getIDsByHPath und getHPathByPath). Im Publish-Modus kann bei deaktivierter Einstellung „Publish.Auth.Enable“ ein nicht authentifizierter (anonymer) Leser – oder jeder beliebige Publish-Leser-Token – diese Endpunkte aufrufen, um den vollständigen privaten Dokumentbaum aufzulisten. Dabei werden Notizbuchnamen, Ordnerhierarchien und Doktitel erfasst sowie Titel-Pfade in Dokument-IDs aufgelöst; dies gilt auch für Dokumente mit den Kennzeichnungen „versteckt“, passwortgeschützt oder „Publish verboten“.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.