PT-2026-71436
CVE-2026-73608
·
تاريخ النشر
2026-08-13
·
تاريخ التحديث
2026-10-23
الوصف من
CVSS 4.0
9.2
حرجةالمقاييسAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات فرع التطوير SiYuan الأقدم من 3.7.4
الوصف
توجد مشكلة تتعلق بنقص في التفويض في نقطة النهاية
/api/av/getAttributeViewSearchTarget. تم تسجيل المسار مع CheckAuth فقط، ويفتقر إلى عمليات التحقق من التفويض الضرورية، مثل CheckReadonly أو الوصول للنشر (publish-access) أو التحكم في الوصول إلى دفاتر الملاحظات المشفرة (encrypted-notebook). يمكن لقارئ مجهول استخدام معرّف قاعدة البيانات من صفحة منشورة وكلمة رئيسية لاستعلام نقطة النهاية واسترداد محتوى صف قاعدة البيانات المطابق، بما في ذلك البيانات التي يجب حجبها بواسطة مرشحات النشر (FilterAttributeViewByPublishAccess).التوصيات
التحديث إلى الإصدار 3.7.4.
كحل مؤقت، قم بتقييد الوصول إلى نقطة النهاية
/api/av/getAttributeViewSearchTarget.قابلية الاستغلال
استغلال
إصلاح
التأثيرات
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾