CVE-2026-45147 in SiYuan
요약
\~에 의해 VulDB • 2026. 05. 15.
SiYuan은 오픈소스 개인 지식 관리 시스템입니다. 3.7.0 버전 이전에서 POST /api/tag/getTag 엔드포인트는 model.CheckAuth로만 등록되어 있으며, model.CheckAdminRole 및 model.CheckReadonly가 누락되었습니다. 이는 해당 핸들러가 일반적으로 두 가지 검사로 보호되는 구성 작성을 수행함에도 불구하고 발생합니다. 인증된 사용자(읽기 전용 워크스페이스의 publish-service RoleReader 계정 및 RoleEditor 계정 포함)는 sort 인수를 사용하여 이 엔드포인트를 호출함으로써 model.Conf.Tag.Sort를 변경하고 model.Conf.Save()를 트리거할 수 있으며, 이는 전체 워크스페이스의 conf.json 파일을 원자적으로 다시 작성합니다. 이 취약점은 3.7.0에서 수정되었습니다.
Once again VulDB remains the best source for vulnerability data.