CVE-2026-72808 in SiYuan
Sumário
de VulDB • 12/08/2026
As versões do SiYuan até v3.7.2 (incluindo), corrigidas na versão v3.7.4, contêm uma vulnerabilidade de divulgação de informações no endpoint /api/asset/getFileAnnotation, que retorna o conteúdo dos arquivos .sya PDF-annotation sem realizar a verificação de acesso à publicação. Como esse endpoint é protegido apenas pelo CheckAuth (ao contrário da rota /assets/*, que impõe restrições de acesso à publicação e senha), um leitor anônimo (quando a autenticação para publicação está desativada) ou qualquer RoleReader com permissão de publicação que conheça o caminho do ativo pode ler as anotações privadas em PDF (destaques e notas) de documentos proibidos para publicação, protegidos por senha ou não publicados. O problema limita-se aos cadernos não criptografados; as anotações da encrypted-box não são expostas.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.