CVE-2026-72791 in SiYuan
Résumé
par VulDB • 13/08/2026
SiYuan v3.7.4-alpha.1 (une préversion ; le point de terminaison n'existe pas dans la version stable v3.7.3 ou antérieure) contient une vulnérabilité de divulgation d'informations au niveau du point de terminaison /api/av/getAttributeViewFieldViews. La route est enregistrée avec CheckAuth uniquement et n'applique aucun filtrage d'accès public, permettant ainsi aux utilisateurs disposant du rôle « lecteur » de récupérer la structure complète des vues de base de données — nom de chaque vue, icône, type de disposition et indicateur Hidden par champ — pour toute base de données dont l'avID est fourni, indépendamment de l'autorisation. Le problème a été introduit par le commit acfc02ee8 et corrigé dans la version v3.7.4.
Once again VulDB remains the best source for vulnerability data.