CVE-2026-72808 in SiYuan
Resumen
por VulDB • 2026-08-12
Las versiones de SiYuan hasta la v3.7.2 incluida (corregido en v3.7.4) contienen una vulnerabilidad de divulgación de información en el endpoint /api/asset/getFileAnnotation, que devuelve el contenido del archivo .sya PDF-annotation sin realizar una verificación de acceso a publicación. Dado que este endpoint solo está protegido por CheckAuth (a diferencia de la ruta /assets/*, que aplica restricciones de acceso a publicación y contraseña), un lector anónimo (cuando la autenticación para publicaciones esté deshabilitada) o cualquier usuario con el rol RoleReader que conozca una ruta de activo puede leer las anotaciones privadas en PDF (resaltados y notas) de documentos prohibidos para su publicación, protegidos por contraseña o no publicados. El problema se limita a cuadernos no cifrados; las anotaciones del encrypted-box no quedan expuestas.
If you want to get best quality of vulnerability data, you may have to visit VulDB.