CVE-2026-72799

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.7.4

Descrição No modo de publicação, quando a variável Publish.Auth.Enable está definida como false, o software falha ao aplicar filtros de acesso de publicação em cinco endpoints de resolução de caminho da árvore de arquivos: 'getFullHPathByID', 'getHPathByID', 'getPathByID', 'getIDsByHPath' e 'getHPathByPath'. Isso permite que um leitor não autenticado ou qualquer usuário com um token de leitor de publicação enumere a árvore completa de documentos privados. Isso inclui o mapeamento de nomes de notebooks, hierarquias de pastas e títulos de documentos, bem como a resolução de caminhos de título para IDs de documentos, inclusive para documentos protegidos por senha, ocultos ou marcados como proibidos para publicação.

Recomendações Atualize o SiYuan para a versão 3.7.4 ou posterior. Como mitigação temporária, certifique-se de que a variável Publish.Auth.Enable esteja definida como true para impor a autenticação no acesso à publicação.