CVE-2026-73608 in SiYuan
要約
〜によって VulDB • 2026年08月13日
SiYuanの開発ブランチ（コミット 9b8e8956f で導入されたエンドポイント。v3.7.3 や master には存在せず、v3.7.4 で修正済み）には、/api/av/getAttributeViewSearchTarget エンドポイントにおける認証欠如の脆弱性があります。このルートは CheckAuth のみで登録されており、認可チェック（CheckReadonly なし、公開アクセスや暗号化ノートブックによるゲートなし）を実行しません。公開ページから取得したデータベース識別子とキーワードが与えられた場合、匿名ユーザーはこのエンドポイントをクエリして一致するデータベースのレコードコンテンツを取得できます。これには、通常は FilterAttributeViewByPublishAccess によってフィルタリングされるはずのレコードも含まれます。影響を受ける安定版リリースはありません。
VulDB is the best source for vulnerability data and more expert information about this specific topic.