CVE-2026-73608
Açıklama
SiYuan'ın geliştirme dalı (commit 9b8e8956f ile tanıtılan, v3.7.3 veya master sürümlerinde bulunmayan ve v3.7.4 sürümünde yamalanan uç nokta), /api/av/getAttributeViewSearchTarget uç noktasında bir yetkilendirme eksikliği zafiyeti içermektedir. Rota yalnızca CheckAuth ile kaydedilmiştir ve herhangi bir yetkilendirme kontrolü gerçekleştirmez (CheckReadonly, publish-access veya şifreli defter kısıtlaması yoktur). Yayınlanmış bir sayfadan alınan bir veritabanı tanımlayıcısı ve bir anahtar kelime verildiğinde, anonim bir okuyucu, yayın filtrelerinin (FilterAttributeViewByPublishAccess) aksi takdirde gizleyeceği satırlar da dahil olmak üzere eşleşen veritabanı satır içeriğini almak için uç noktaya sorgu gönderebilir. Yayınlanmış hiçbir kararlı sürüm etkilenmemiştir.
Nasıl düzeltilir
- siyuan-note siyuan3.7.4-alpha.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| siyuan-note siyuan | 3.7.4-alpha.2 ≤ v < 3.7.4-alpha.3 | 3.7.4-alpha.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.