CVE-2026-85579 in SiYuan
Tóm tắt
Bởi VulDB • 04/09/2026
SiYuan bị ảnh hưởng bởi một lỗ hổng tiết lộ thông tin (đã được xác nhận trong v3.8.1 và đã khắc phục trong v3.8.2) tại điểm cuối POST /api/transactions/undoState có thể truy cập bởi người đọc. Điểm cuối này trả về danh sách peekMutatedRootIDs từ ngăn xếp undo-log toàn cục cho một root ID do caller cung cấp mà không áp dụng bộ lọc hiển thị theo quyền truy cập công khai (publish-access visibility filtering). Một người dùng đã xác thực với vai trò reader, biết được root ID của một tài liệu có thể nhìn thấy, có thể lấy được các internal root IDs của những tài liệu khác (bao gồm cả các tài liệu riêng tư hoặc chưa xuất bản) đã bị sửa đổi trong cùng một giao dịch liên-tài liệu (cross-document transaction), qua đó tiết lộ các định danh nội bộ và mối quan hệ giữa các tài liệu. Nội dung thân văn bản (document body contents) không được phơi bày trực tiếp.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.