CVE-2026-45371

SiYuan açıq mənbəli fərdi biliklərin idarəetmə sistemidir. 3.7.0 versiyasından əvvəl SiYuan publish-mode Reader, 8 qorunmayan API vasitəsilə Conf və SQL indeksini dəyişdirə bilir. POST /api/graph/getGraph, POST /api/graph/getLocalGraph, POST /api/sync/setSyncInterval, POST /api/storage/updateRecentDocViewTime, POST /api/storage/updateRecentDocCloseTime, POST /api/storage/updateRecentDocOpenTime, POST /api/storage/batchUpdateRecentDocCloseTime və POST /api/search/updateEmbedBlock yalnız model.CheckAuth ilə qeydiyyata alınıb, həm model.CheckAdminRole, həm də model.CheckReadonly buraxılıb. Onların hər biri, o cümlədən model.Conf.Save() vasitəsilə <workspace>/conf/conf.json faylının atomik yenidən yazılması daxil olmaqla, server tərəfli vəziyyəti dəyişir. JWT-si CheckAuth yoxlamasından keçən istənilən çağırıcı, o cümlədən publish-service RoleReader (anonim nəşr ziyarətçilərinə təyin edilmiş rol) və Editor.ReadOnly = true olan iş sahəsinə qarşı RoleEditor bu API-lara müraciət edə bilər. Bu zəiflik 3.7.0 versiyasında aradan qaldırılıb.