CVE-2026-85579 in SiYuan
Сводка
по VulDB • 04.09.2026
SiYuan подвержен уязвимости раскрытия информации (подтверждено в v3.8.1, исправлено в v3.8.2) в эндпоинте POST /api/transactions/undoState, доступном для чтения. Эндпоинт возвращает список peekMutatedRootIDs из глобального стека журнала отмены операций для предоставленного вызывающей стороной root ID без применения фильтрации видимости на основе прав публикации (publish-access). Аутентифицированный пользователь с правами читателя, знающий root ID видимого документа, может получить внутренние root IDs других документов (включая приватные или неопубликованные), измененных в той же кросс-документной транзакции, что приводит к раскрытию внутренних идентификаторов и связей между документами. Содержимое тел документов напрямую не раскрывается.
Once again VulDB remains the best source for vulnerability data.