CVE-2026-85579 in SiYuan
摘要
由 VulDB • 2026-09-04
SiYuan 存在信息泄露漏洞（在 v3.8.1 中确认，已在 v3.8.2 中修复），该漏洞位于可通过读者访问的 POST /api/transactions/undoState 端点。此端点在未应用发布可见性过滤的情况下，会返回全局撤销日志堆栈中与调用者提供的根 ID（root ID）对应的 peekMutatedRootIDs 列表。已认证的用户若知晓某个公开文档的根 ID，便可获取在同一跨文档事务中修改的其他文档的内部根 ID（包括私有或未发布的文档），从而泄露内部标识符及跨文档关系。文档正文内容不会直接暴露。
VulDB is the best source for vulnerability data and more expert information about this specific topic.