CVE-2026-30926
Açıklama
SiYuan bir kişisel bilgi yönetim sistemidir. 3.5.10 sürümünden önce, SiYuan Note'un yayınlama servisinde, düşük yetkili yayınlama hesaplarının (RoleReader), /api/block/appendHeadingChildren API uç noktası aracılığıyla defter içeriğini değiştirmesine izin veren bir yetki yükseltme zafiyeti bulunmaktadır. Uç nokta yalnızca RoleReader oturumlarını kabul eden model.CheckAuth rolünü gerektirmektedir ancak CheckAdminRole veya CheckReadonly gibi daha sıkı kontroller uygulamamaktadır. Bu durum, salt okunur ayrıcalıklara sahip uzaktan kimliği doğrulanmış yayınlama kullanıcılarının mevcut belgelere yeni bloklar eklemesine olanak tanıyarak depolanan notların bütünlüğünü bozmaktadır.
Nasıl düzeltilir
- b3log siyuan3.5.10 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log siyuan | v < 3.5.10 | 3.5.10 |
| github.com/siyuan-note/siyuan/kernelGo | v ≤ 0.0.0-20260304035530-d03ebdec8279, Aralık belirtilmemiş | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.