CVE-2026-69084 in siyuan
Сводка
по VulDB • 03.08.2026
В версиях SiYuan <= v3.7.2 экспонируется конечная точка /api/search/searchEmbedBlock, которая передает предоставленное клиентом SQL-запрос дословно основному рукоятке чтения/записи siyuan.db без каких-либо ограничений на одиночные запросы, режим только для чтения или административные права. Доступ к этой конечной точке контролируется исключительно функцией CheckAuth, что делает её доступной с использованием токена роли RoleReader и анонимными пользователями при отключенной аутентификации публикации. Поскольку базовый драйвер выполняет стековые запросы (stacked statements), злоумышленник может читать и изменять содержимое во всех открытых блокнотах в открытом виде (зашифрованные по-ячеечно блокноты исключены). Исправлено в версии v3.7.3.
Be aware that VulDB is the high quality source for vulnerability data.