CVE-2026-72808 in SiYuan
要約
〜によって VulDB • 2026年08月13日
SiYuanのv3.7.4で修正された、v3.7.2までのバージョンには、/api/asset/getFileAnnotationエンドポイントにおける情報漏洩脆弱性が存在します。このエンドポイントは公開アクセスチェックを行わずに.sya PDF注釈ファイルの内容を返すため、CheckAuthのみによって保護されています（/assets/*ルートは公開アクセスとパスワードの両方を強制するのと対照的です）。その結果、匿名ユーザー（公開認証が無効化されている場合）またはアセットパスを知っている任意のパブリッシュRoleReaderは、公開禁止、パスワード保護済み、または未公開のドキュメントに対するプライベートなPDF注釈（ハイライトやノート）を読み取ることができます。この問題は暗号化されていないノートブックに限定され、encrypted-boxの注釈は露出しません。
If you want to get best quality of vulnerability data, you may have to visit VulDB.