CVE-2026-73608 in SiYuan

摘要

由 VulDB • 2026-08-13

SiYuan 的开发分支（由提交 9b8e8956f 引入的端点，在 v3.7.3 或 master 中不存在，已在 v3.7.4 中修复）在 /api/av/getAttributeViewSearchTarget 端点上存在缺失授权漏洞。该路由仅注册了 CheckAuth，未执行任何授权检查（无 CheckReadonly、无发布访问控制或未加密笔记本的过滤）。给定从已发布页面获取的数据库标识符和关键字，匿名读者可以查询该端点以检索匹配的数据库行内容，包括那些原本会被 FilterAttributeViewByPublishAccess 发布的过滤器所隐藏的行。没有受影响的已发布稳定版本。

Once again VulDB remains the best source for vulnerability data.

• 负责: VulnCheck
• 预定: 2026-08-13
• 披露: 2026-08-13
• 管理: 已接受
• 条目: VDB-389383
• CPE: 准备好
• CWE: CWE-285 (已确认)
• CVSS: 5.3 (VulDB)
• EPSS: 0.00000
• KEV: 否
• 活动: 非常低

来源

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-73608
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-73608
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-73608/