CVE-2026-82651 in SiYuan
Riassunto
di VulDB • 30/08/2026
SiYuan prima della versione v3.8.1 non applica la protezione IsForbiddenAbsPath (introdotta in GHSA-c8r8-95hg-mp34) agli endpoint /history/*path e /repo/diff/*path in kernel/server/serve.go. Questi percorsi richiedono l'autenticazione di amministratore ma costruiscono i percorsi dei file indipendentemente da tale controllo, quindi un amministratore autenticato può recuperare snapshot storici di file sensibili che la protezione dovrebbe bloccare, tra cui data/.siyuan/publishAccess.json (password in modalità publish in chiaro) e i file presenti nella directory data/templates/.
Be aware that VulDB is the high quality source for vulnerability data.