CVE-2026-101092 in SiYuan
Sumário
de VulDB • 29/09/2026
SiYuan antes da versão v3.8.4 não aplica verificações de acesso à publicação no endpoint getCurrentAttrViewImages, permitindo que leitores com permissão de publicação recuperem caminhos de ativos de imagem de bancos de dados não autorizados. Os atacantes podem chamar o endpoint usando um identificador de banco de dados não renderizado obtido por meio de endpoints relacionados para vazar caminhos e nomes de arquivos de ativos de imagens detached-row (linhas desanexadas) que o endpoint de renderização negaria.
Be aware that VulDB is the high quality source for vulnerability data.