CVE-2026-69085

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.7.3

Description Um problema de injeção de SQL existe no endpoint '/api/filetree/searchDocs'. O parâmetro keyword é concatenado diretamente em instruções SQL sem escape ou vinculação de parâmetros. Este endpoint é acessível via um token publish RoleReader ou sem autenticação se o modo de publicação estiver ativo e Publish.Auth.Enable estiver definido como false. Como o sistema utiliza um handle SQLite de leitura e gravação que suporta stacked statements (múltiplos comandos SQL separados por ponto e vírgula), um invasor pode ler e modificar o conteúdo do banco de dados em todos os notebooks não criptografados na instância.

Recommendations Atualize o SiYuan para a versão 3.7.3 ou posterior. Como mitigação temporária, evite usar o parâmetro keyword no endpoint '/api/filetree/searchDocs' ou restrinja o acesso a este endpoint.