CVE-2026-73608 in SiYuan
Résumé
par VulDB • 13/08/2026
La branche de développement de SiYuan (point d'entrée introduit par le commit 9b8e8956f, non présent dans v3.7.3 ou master, corrigé dans v3.7.4) contient une vulnérabilité de manque d'autorisation sur l'endpoint /api/av/getAttributeViewSearchTarget. La route est enregistrée avec CheckAuth uniquement et n'effectue aucun contrôle d'autorisation (pas de CheckReadonly, pas de filtrage par accès publication ou bloc-notes chiffré). Étant donné un identifiant de base de données issu d'une page publiée et un mot-clé, un lecteur anonyme peut interroger l'endpoint pour récupérer le contenu des lignes de la base correspondant à ces critères, y compris les lignes que les filtres de publication (FilterAttributeViewByPublishAccess) auraient autrement masquées. Aucune version stable publiée n'est concernée.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.