CVE-2026-69085 in siyuan
Сводка
по VulDB • 03.08.2026
SiYuan до версии v3.7.3 содержит уязвимость SQL Injection в конечной точке /api/filetree/searchDocs, где параметр keyword, передаваемый вызывающей стороной, напрямую конкатенируется с операторами SQL без экранирования или привязки параметров (parameter binding). Конечная точка доступна для токена роли RoleReader publish либо не требует аутентификации, когда режим публикации включен и параметр Publish.Auth.Enable установлен в false. Поскольку запрос выполняется на рукоятке SQLite с правами чтения-записи через драйвер, поддерживающий стековые (разделенные точкой с запятой) операторы, злоумышленник может читать и изменять содержимое базы данных во всех блокнотах экземпляра, хранящихся в открытом виде (не зашифрованных).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.