CVE-2026-33669

B3Log SiYuan — nieuprawniony odczyt treści dokumentów przez API

CVSS 9.8v3.1pub. 2026-03-26upd. 2026-03-30

Podatność w aplikacji SiYuan (system zarządzania wiedzą osobistą) umożliwia nieuwierzytelnionemu atakującemu zdalne odczytanie identyfikatorów dokumentów oraz pełnej zawartości wszystkich bloków dokumentów. Krytyczny poziom CVSS 9.8 wynika z braku wymagania jakiegokolwiek uwierzytelnienia oraz z możliwości uzyskania dostępu do poufnych danych.

▸ Pokaż oryginał (EN)

SiYuan is a personal knowledge management system. Prior to version 3.6.2, document IDs were retrieved via the /api/file/readDir interface, and then the /api/block/getChildBlocks interface was used to view the content of all documents. Version 3.6.2 patches the issue.

🤖 Analiza AI

Jak działa

Atakujący w pierwszym kroku wysyła żądanie do interfejsu API /api/file/readDir, który zwraca identyfikatory dokumentów przechowywanych w aplikacji. Następnie, korzystając z uzyskanych identyfikatorów, wywołuje interfejs /api/block/getChildBlocks, co pozwala na odczyt zawartości wszystkich dokumentów. Oba endpointy są dostępne bez uwierzytelnienia z sieci (AV:N, PR:N, UI:N), co klasyfikuje podatność jako CWE-125 (out-of-bounds read / nieautoryzowany odczyt danych).

Skutki

Nieuprawniony atakujący może uzyskać pełny dostęp do treści wszystkich dokumentów przechowywanych w systemie SiYuan, co prowadzi do naruszenia poufności i integralności danych użytkownika.

Mitygacja

Należy zaktualizować SiYuan do wersji 3.6.2 lub nowszej, która zawiera łatę eliminującą opisaną podatność. Szczegóły dostępne w security advisory producenta na GitHub.