CVE-2026-45371

SiYuan, açık kaynaklı bir kişisel bilgi yönetim sistemidir. 3.7.0 sürümünden önce, SiYuan publish-mode Reader; 8 adet denetimsiz API aracılığıyla Conf ve SQL indeksini değiştirebilir. POST /api/graph/getGraph, POST /api/graph/getLocalGraph, POST /api/sync/setSyncInterval, POST /api/storage/updateRecentDocViewTime, POST /api/storage/updateRecentDocCloseTime, POST /api/storage/updateRecentDocOpenTime, POST /api/storage/batchUpdateRecentDocCloseTime ve POST /api/search/updateEmbedBlock uç noktaları, model.CheckAdminRole ve model.CheckReadonly kontrolleri ihmal edilerek yalnızca model.CheckAuth ile kaydedilmiştir. Bu uç noktaların her biri, model.Conf.Save() üzerinden <workspace>/conf/conf.json dosyasının atomik yeniden yazımları da dahil olmak üzere sunucu tarafındaki durumu değiştirir. Anonim yayın ziyaretçilerine atanan publish-service RoleReader veya Editor.ReadOnly = true olan bir çalışma alanındaki RoleEditor dahil olmak üzere, JWT'si CheckAuth kontrolünden geçen herhangi bir çağırıcı bu uç noktalara erişebilir. Bu güvenlik açığı 3.7.0 sürümünde giderilmiştir.