Manus-Pi

SiYuan before v3.8.5 contains an information disclosure vulnerability that allows read-only publish readers to learn metadata of publish-excluded documents through the getNotebookInfo endpoint. Attackers, including anonymous visitors when no reader password is set, can query publish-visible notebooks to obtain document count, size and modification timestamps of hidden documents.

SiYuan before v3.8.5 contains a missing authorization vulnerability in the getRefCreateSavePath, getShorthandSavePath, and getDocCreateSavePath endpoints that allows read-only publish visitors to learn unpublished notebook box IDs. Attackers with read-only or anonymous publish access can POST any open notebook ID to receive the global save-box ID and save-path template, revealing a hidden notebook's existence and creation time.

SiYuan before 3.8.5 contains an information disclosure vulnerability that allows publish readers to read password-protected and publish-disabled database rows via the /api/export/preview endpoint. Attackers can request an export preview of a public document embedding a database view to obtain protected rows' primary-key text and cell values.

Tornado before 6.5.9 fails to limit the number of query string fields in HTTPServerRequest. init , allowing remote attackers to cause event-loop stalling by sending requests with thousands of query parameters. Attackers can send unauthenticated GET requests with unbounded query-string field counts to degrade response times for all clients sharing the same IOLoop.

**Nome do Software Vulnerável e Versões Afetadas** SiYuan versões anteriores a 3.8.4 **Descrição** A validação insuficiente de instruções SQL em blocos de incorporação de consulta de bloco executados contra `siyuan.db` permite a execução de instruções SQL que não são apenas de leitura. Um invasor pode criar documentos `.sy` maliciosos que acionam essas instruções automaticamente durante operações de indexação em segundo plano, renderização ou exportação sem a necessidade de autenticação. **Recomendações** Atualize para a versão 3.8.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** ash authentication versões 5.0.0-rc.10 até 5.0.0-rc.13 **Description** Existe uma falha de bypass de autenticação por spoofing na estratégia `dynamic oidc`. Isso permite que um invasor que utilize uma conexão de provedor de identidade seja autenticado como um usuário local estabelecido por meio de uma conexão diferente. O problema ocorre porque o isolamento de namespace de identidade pretendido, que deveria formatar o campo `strategy` das linhas `UserIdentity` como `"<name>/<connection id>"`, não é aplicado. Em vez disso, a variável ` connection id ` é populada apenas em uma estrutura de tempo de execução efêmera e não é utilizada durante o processo de alteração de identidade na função `DynamicOidc.IdentityChange.change/3`. Consequentemente, o sistema retorna ao nome da estratégia simples para gravações e leituras de identidade em `oauth2/user resolver.ex` e `oauth2/sign in preparation.ex`. Como a chave única do recurso de identidade é `(uid, strategy)` e o sistema não processa a reivindicação `iss` (issuer), usuários de provedores diferentes com o mesmo valor `sub` (subject) são tratados como o mesmo usuário. Isso pode resultar no sequestro de contas sem interação da vítima ou na fusão silenciosa de usuários distintos que compartilham o mesmo identificador de assunto em provedores diferentes. **Recommendations** Para as versões 5.0.0-rc.10 até 5.0.0-rc.13, atualize o software para a versão 5.0.0-rc.14 ou superior. Após a atualização, o campo `strategy` de cada linha `UserIdentity` deve ser religado manualmente para o formato `"<name>/<connection id>"` para garantir que as identidades existentes correspondam à nova lógica de namespace. Para implantações que utilizam mais de uma conexão, realize uma auditoria externa exportando os valores `sub` de cada provedor de identidade e cruzando-os para identificar e resolver contas que possam ter sido fundidas.

**Nome do Software Vulnerável e Versões Afetadas** fast-uri versões 4.1.3 a 4.1.4 **Description** O analisador mailto compara os nomes dos campos de consulta com nomes reservados, como `to`, `subject` e `body`, enquanto eles ainda estão codificados em percentual (percent-encoded). Como o analisador decodifica esses nomes apenas ao armazená-los como cabeçalhos genéricos, uma versão codificada de um nome de campo reservado não é reconhecida durante a análise inicial, mas é reemitida como o nome de campo literal quando a URI analisada é serializada. Essa dessincronização permite que um invasor insira um destinatário, assunto ou corpo de mensagem escolhido durante um ciclo de processamento, caso a aplicação valide a URI na primeira análise e, posteriormente, a serialize e a envie. **Recommendations** Atualize o fast-uri para a versão 4.1.5 ou posterior. Como medida paliativa temporária, não processe uma URI mailto que tenha sido reserializada sem antes decodificar e revalidar os campos `recipient`, `subject` e `body`.