PT-2026-72012
CVE-2026-73630
·
تاريخ النشر
2026-08-14
·
تاريخ التحديث
2026-11-05
الوصف من
CVSS 3.1
5.8
متوسطةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:N
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات SiYuan الأقدم من 3.7.4
الوصف
توجد مشكلة تتعلق بالكشف عن المعلومات في نقطة النهاية ’/api/filetree/authFilePublishAccess‘، والتي يمكن الوصول إليها بشكل مجهول. لا تعرض نقطة النهاية رموز الفشل، بل تشير إلى النتائج من خلال رسائل الاستجابة ووجود رأس «Set-Cookie». ومن خلال إرسال طلبات بكلمة مرور فارغة لمعرف مستند معين، يمكن للمهاجم تحديد ما إذا كان المستند عامًا، أو غير موجود، أو محمي بكلمة مرور، أو موجودًا ضمن مستويات مخفية أو محظورة. بالإضافة إلى ذلك، ونظرًا لأن الإدخالات المخفية والمحظورة تستخدم كلمات مرور فارغة، فإن هذه الطلبات يمكن أن تدفع الخادم إلى إصدار ملف تعريف ارتباط «publish-auth» للمستندات المحظورة.
التوصيات
تحديث SiYuan إلى الإصدار 3.7.4 أو أحدث.
كإجراء تخفيفي مؤقت، تقييد الوصول إلى نقطة النهاية ’/api/filetree/authFilePublishAccess‘.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾