CVE-2026-85579

Nome do Software Vulnerável e Versões Afetadas SiYuan versões anteriores a 3.8.2

Description Um problema de divulgação de informações existe no endpoint POST '/api/transactions/undoState' acessível ao leitor. O endpoint retorna a lista peekMutatedRootIDs da pilha global de undo-log para um root ID fornecido pelo chamador sem aplicar a filtragem de visibilidade de acesso de publicação. Um leitor autenticado que conheça o root ID de um documento visível pode obter os root IDs internos de outros documentos, incluindo privados ou não publicados, que foram modificados na mesma transação entre documentos. Isso expõe identificadores internos e relacionamentos entre documentos, embora os conteúdos do corpo dos documentos não sejam expostos diretamente.

Recommendations Atualizar para a versão 3.8.2.