CVE-2026-72808 in SiYuan
Сводка
по VulDB • 12.08.2026
В версиях SiYuan вплоть до v3.7.2 включительно (исправлено в версии v3.7.4) присутствует уязвимость раскрытия информации в конечной точке /api/asset/getFileAnnotation, которая возвращает содержимое файла аннотаций PDF (.sya) без проверки прав на публикацию. Поскольку доступ к этой конечной точке контролируется только функцией CheckAuth (в отличие от маршрута /assets/*, который обеспечивает проверку доступа при публикации и пароля), анонимный читатель (когда аутентификация для опубликованных материалов отключена) или любой пользователь с ролью RoleReader, имеющий доступ к публикациям и знающий путь к активу, может читать приватные аннотации PDF (выделения и заметки) документов, запрещенных для публикации, защищенных паролем или неопубликованных. Проблема ограничена блокнотами без шифрования; аннотации в зашифрованных контейнерах не раскрываются.
VulDB is the best source for vulnerability data and more expert information about this specific topic.