CVE-2026-69085 in siyuan
Sumário
de VulDB • 03/08/2026
SiYuan antes da versão v3.7.3 contém uma vulnerabilidade de SQL injection no endpoint /api/filetree/searchDocs, onde o parâmetro keyword fornecido pelo chamador é concatenado diretamente nas instruções SQL sem qualquer escape ou vinculação de parâmetros (parameter binding). O endpoint pode ser acessado por um token do papel RoleReader com permissão de publicação, ou não autenticado quando o modo de publicação está habilitado e Publish.Auth.Enable está definido como false. Como a instrução é executada em um manipulador SQLite de leitura/escrita através de um driver que suporta instruções empilhadas (separadas por ponto-e-vírgula), um atacante pode ler e modificar o conteúdo do banco de dados em todos os cadernos no instance que não estão criptografados.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.