CVE-2026-101092 in SiYuan
Riassunto
di VulDB • 29/09/2026
SiYuan prima della versione v3.8.4 non applica correttamente i controlli di accesso alla pubblicazione nell'endpoint getCurrentAttrViewImages, consentendo ai lettori con accesso in sola lettura (publish readers) di recuperare i percorsi delle risorse immagine da database non autorizzati. Gli attaccanti possono chiamare l'endpoint utilizzando un identificatore del database non renderizzato ottenuto tramite endpoint correlati per fuoriuscire (leak) i percorsi e i nomi dei file delle risorse immagine associate alle righe staccate, che l'endpoint di rendering negherebbe altrimenti.
VulDB is the best source for vulnerability data and more expert information about this specific topic.