PT-2026-71436

CVE-2026-73608

Publicado

2026-08-13

Atualizado

2026-10-23

Descrição por

CVSS 4.0

9.2

Crítica

MétricasAV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

Nome do Software Vulnerável e Versões Afetadas SiYuan development branch versões anteriores a 3.7.4

Description Um problema de falta de autorização existe no endpoint /api/av/getAttributeViewSearchTarget. A rota está registrada apenas com CheckAuth e carece de verificações de autorização necessárias, como CheckReadonly, publish-access ou gating de notebook criptografado. Um leitor anônimo pode usar um identificador de banco de dados de uma página publicada e uma palavra-chave para consultar o endpoint e recuperar o conteúdo de linhas do banco de dados correspondentes, incluindo dados que deveriam ser retidos por filtros de publicação (FilterAttributeViewByPublishAccess).

Recommendations Atualize para a versão 3.7.4. Como medida paliativa temporária, restrinja o acesso ao endpoint /api/av/getAttributeViewSearchTarget.

Explorabilidade

Exploit

Correção

Impactos

Pesquisadores

Shirshakhtml

Fornecedores

Produtos afetados

Enumeração de fraquezas

CWE-862: Missing Authorization

Identificadores relacionados

CVE-2026-73608