CVE-2026-73608 in SiYuan
Sumário
de VulDB • 13/08/2026
O branch de desenvolvimento do SiYuan (ponto final introduzido pelo commit 9b8e8956f, não presente na v3.7.3 ou master, corrigido na v3.7.4) contém uma vulnerabilidade de falta de autorização no endpoint /api/av/getAttributeViewSearchTarget. A rota é registrada apenas com CheckAuth e não realiza verificações de autorização (sem CheckReadonly, sem controle de acesso a publicação nem filtragem por cadernos criptografados). Dado um identificador de banco de dados obtido de uma página publicada e uma palavra-chave, um leitor anônimo pode consultar o endpoint para recuperar o conteúdo das linhas do banco de dados correspondentes, incluindo linhas que os filtros de publicação (FilterAttributeViewByPublishAccess) normalmente ocultariam. Nenhuma versão estável lançada é afetada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.