CVE-2026-72808
Təsvir
SiYuan-ın v3.7.2 daxil olmaqla bütün versiyalarında (v3.7.4 versiyasında düzəldilib) /api/asset/getFileAnnotation son nöqtəsində məlumat sızması zəifliyi mövcuddur və bu, nəşr giriş yoxlaması olmadan .sya PDF-qeyd faylının məzmununu qaytarır. Son nöqtə yalnız CheckAuth ilə qorunduğu üçün (/assets/* marşrutundan fərqli olaraq, orada nəşr girişi və şifrə tələb olunur), anonim oxucu (nəşr autentifikasiyası söndürüldükdə) və ya aktivlik yolunu bilən hər hansı RoleReader roluna malik istifadəçi, nəşri qadağan edilmiş, şifrələnmiş və ya dərc edilməmiş sənədlərin şəxsi PDF qeydlərini (vurğular və qeydlər) oxuya bilər. Problem şifrələnməmiş qeyd dəftərləri ilə məhdudlaşır; şifrələnmiş-qutu (encrypted-box) qeydləri ifşa olunmur.
Necə düzəltmək olar
- github.com/siyuan-note/siyuan/kernel0.0.0-20260723031702-509b35055940 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| github.com/siyuan-note/siyuan/kernelGo | v < 0.0.0-20260723031702-509b35055940 | 0.0.0-20260723031702-509b35055940 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.