CVE-2026-72808

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.7.4

Descrição Um problema de divulgação de informações existe no endpoint '/api/asset/getFileAnnotation'. O endpoint retorna o conteúdo de arquivos de anotação de PDF .sya sem realizar uma verificação de acesso de publicação, pois é protegido apenas pelo CheckAuth. Isso permite que um leitor anônimo, quando a autenticação de publicação estiver desativada, ou qualquer RoleReader que conheça o caminho de um ativo acesse anotações privadas de PDF, como destaques e notas, de documentos que não foram publicados, estão protegidos por senha ou proibidos de publicação. Este problema afeta apenas notebooks não criptografados, pois anotações de caixas criptografadas permanecem protegidas.

Recomendações Atualize o SiYuan para a versão 3.7.4 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/api/asset/getFileAnnotation'.