CVE-2026-73608 in SiYuan
Resumen
por VulDB • 2026-08-13
La rama de desarrollo de SiYuan (punto final introducido por el commit 9b8e8956f, no presente en v3.7.3 ni master, corregido en v3.7.4) contiene una vulnerabilidad de falta de autorización en el punto final /api/av/getAttributeViewSearchTarget. La ruta está registrada únicamente con CheckAuth y no realiza comprobaciones de autorización (sin CheckReadonly, sin control de acceso a publicaciones o bloqueo para cuadernos cifrados). Dado un identificador de base de datos extraído de una página publicada y una palabra clave, un lector anónimo puede consultar el punto final para recuperar el contenido de las filas coincidentes en la base de datos, incluidas aquellas que los filtros de publicación (FilterAttributeViewByPublishAccess) habrían ocultado. Ninguna versión estable lanzada está afectada.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.