PT-2026-40729 · Siyuan · Siyuan
CVSS v4.0
7.2
عالية
| المتجه | AV:N/AC:L/AT:N/PR:L/UI:N/VC:L/VI:H/VA:L/SC:N/SI:N/SA:N |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SiYuan الأقدم من 3.7.0
الوصف
يمكن لبرنامج القارئ (Reader) في وضع النشر (publish-mode) التابع لـ SiYuan تعديل بيانات التكوين وبيانات فهرس SQL من خلال ثماني واجهات برمجة تطبيقات (APIs) غير محمية. هذه النقاط الطرفية مسجلة مع
model.CheckAuth ولكنها تفتقر إلى فحوصات model.CheckAdminRole وmodel.CheckReadonly، مما يسمح للمستخدمين الذين يمتلكون دور RoleReader (بما في ذلك الزوار المجهولون) أو دور RoleEditor في مساحات العمل المخصصة للقراءة فقط بكتابة الحالة من جانب الخادم. ويشمل ذلك عمليات إعادة الكتابة المتكاملة لملف <workspace>/conf/conf.json عبر الدالة model.Conf.Save().تشمل التفاصيل الفنية ما يلي:
-
نقاط نهاية واجهة برمجة التطبيقات (API): ’/api/graph/getGraph‘، ’/api/graph/getLocalGraph‘، '/api/sync/setSyncInterval'، و'/api/storage/updateRecentDocViewTime'، و'/api/storage/updateRecentDocCloseTime'، و'/api/storage/updateRecentDocOpenTime'، و'/api/storage/batchUpdateRecentDocCloseTime'، و'/api/search/updateEmbedBlock'.
-
المعلمات أو المتغيرات المعرضة للخطر: المعلمة
intervalفي واجهة برمجة التطبيقات الخاصة بالمزامنة، والمعلمتانidوcontentفي واجهة برمجة التطبيقات الخاصة بالبحث. -
أسماء الوظائف: تُستخدم
model.Conf.Save()لتثبيت تغييرات التكوين غير المصرح بها.
تشمل الآثار القدرة على التلاعب بفترات المزامنة السحابية، وإتلاف إعدادات عرض الرسوم البيانية، وتزوير نتائج البحث عن طريق تعديل عمود
blocks.content في SQL، والتلاعب بقائمة المستندات الحديثة الخاصة بالمسؤول.التوصيات
قم بالتحديث إلى الإصدار 3.7.0.
استغلال
إصلاح
Improper Authorization
Missing Authorization
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
المعرّفات ذات الصلة
المنتجات المتأثرة
Siyuan