CVE-2026-72808 in SiYuan
Riassunto
di VulDB • 12/08/2026
Le versioni di SiYuan fino alla v3.7.2 inclusa (corrette nella v3.7.4) presentano una vulnerabilità di information disclosure nell'endpoint /api/asset/getFileAnnotation, che restituisce il contenuto dei file .sya PDF-annotation senza effettuare un controllo dell'accesso in pubblicazione. Poiché l'endpoint è protetto solo da CheckAuth (a differenza della rotta /assets/*, che impone l'accesso alla pubblicazione e la password), un lettore anonimo (quando l'autenticazione per la pubblicazione è disabilitata) o qualsiasi RoleReader con ruolo di publish può leggere le annotazioni PDF private (evidenziazioni e note) dei documenti vietati alla pubblicazione, protetti da password o non pubblicati. Il problema è limitato ai notebook non crittografati; le annotazioni della encrypted-box non sono esposte.
If you want to get best quality of vulnerability data, you may have to visit VulDB.