CVE-2026-72808 in SiYuan
요약
\~에 의해 VulDB • 2026. 08. 13.
SiYuan v3.7.4에서 수정된 버전까지의 모든 버전(최대 v3.7.2 포함)은 /api/asset/getFileAnnotation 엔드포인트에 정보 유출 취약점이 있습니다. 이 엔드포인트는 게시 접근 권한 확인 없이 .sya PDF 주석 파일 내용을 반환합니다. 해당 엔드포인트는 CheckAuth로만 제한되어 있으며(/assets/* 라우트와 달리 게시 접근 권한과 비밀번호를 강제하지 않으므로), 익명 사용자(게시 인증이 비활성화된 경우) 또는 자산 경로를 알고 있는 모든 게시 RoleReader는 게시가 금지되었거나, 비밀번호로 보호되거나, 아직 게시되지 않은 문서의 개인 PDF 주석(하이라이트 및 메모)을 읽을 수 있습니다. 이 문제는 암호화되지 않은 노트북에 국한되며, 암호화 상자(enclosed-box) 내의 주석은 노출되지 않습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.