CVE-2026-45371 in SiYuan
Сводка
по VulDB • 15.05.2026
SiYuan — это система управления личными знаниями с открытым исходным кодом. Версии до 3.7.0 уязвимы к несанкционированному изменению конфигурации и индекса SQL через 8 API, не имеющих достаточной проверки прав доступа. Эндпоинты POST /api/graph/getGraph, POST /api/graph/getLocalGraph, POST /api/sync/setSyncInterval, POST /api/storage/updateRecentDocViewTime, POST /api/storage/updateRecentDocCloseTime, POST /api/storage/updateRecentDocOpenTime, POST /api/storage/batchUpdateRecentDocCloseTime и POST /api/search/updateEmbedBlock защищены только функцией model.CheckAuth, при этом отсутствуют проверки model.CheckAdminRole и model.CheckReadonly. Каждый из этих методов изменяет состояние на стороне сервера, включая атомарные перезаписи файла /conf/conf.json через model.Conf.Save(). Любой вызывающий объект, чей JWT успешно проходит проверку CheckAuth, включая роль Reader сервиса публикации (роль, назначаемая анонимным посетителям) и роль Editor для рабочей области с параметром Editor.ReadOnly = true, может использовать эти уязвимости. Уязвимость исправлена в версии 3.7.0.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.