CVE-2026-73630

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.7.4

Description Um problema de divulgação de informações existe no endpoint '/api/filetree/authFilePublishAccess', que é acessível anonimamente. O endpoint não retorna códigos de falha, sinalizando os resultados através de mensagens de resposta e da presença de um cabeçalho 'Set-Cookie'. Ao enviar solicitações com uma senha vazia para um identificador de documento específico, um invasor pode determinar se um documento é público, inexistente, protegido por senha ou localizado em níveis ocultos ou proibidos. Além disso, como as entradas ocultas e proibidas usam senhas vazias, essas solicitações podem fazer com que o servidor emitia um cookie de autenticação de publicação para documentos proibidos.

Recommendations Atualize o SiYuan para a versão 3.7.4 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/api/filetree/authFilePublishAccess'.