CVE-2026-40259
Açıklama
SiYuan açık kaynaklı bir kişisel bilgi yönetim sistemidir. 3.6.3 ve altı sürümlerde, /api/av/removeUnusedAttributeView uç noktası yalnızca publish-service RoleReader belirteçlerini kabul eden genel kimlik doğrulaması ile korunmaktadır. İşleyici, çağırıcı tarafından kontrol edilen id değerini; çağırıcının yazma yetkilerine sahip olduğunu veya hedef öznitelik görünümünün gerçekten kullanılmadığını doğrulamadan, karşılık gelen öznitelik görünümü dosyasını çalışma alanından koşulsuz olarak silen bir model fonksiyonuna doğrudan aktarmaktadır. Kimliği doğrulanmış bir publish-service okuyucusu, yayınlanmış içeriklerden herkese açık olarak sunulan data-av-id değerlerini çıkararak rastgele öznitelik görünümü tanımlarını kalıcı olarak silebilir; bu durum manuel olarak geri yüklenene kadar veritabanı görünümlerinin bozulmasına ve çalışma alanı oluşturma işlemlerinin aksamasına neden olur. Bu sorun 3.6.4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- b3log siyuan3.6.4 ya da sonraki bir sürüm
- github.com/siyuan-note/siyuan/kernel0.0.0-20260407035653-2f416e5253f1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log siyuan | v < 3.6.4 | 3.6.4 |
| github.com/siyuan-note/siyuan/kernelGo | v < 0.0.0-20260407035653-2f416e5253f1 | 0.0.0-20260407035653-2f416e5253f1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.