SiYuanの脆弱性、認証済みの閲覧者に認証情報ファイルが読まれるおそれ
概要
SiYuanの3.8.9より前の版には、認証済みの閲覧者(Readerの権限)が、認証情報を含む名前のウィジェットファイルを取得できる脆弱性があります。公開に使われているウィジェットでは、APIキーやトークンなどの秘密情報が漏れるおそれがあります。修正版の3.8.9が公開されているので、速やかに更新してください。
AI要約
SecPulse が外部の生成 AI を使って作った要約です。誤りを含むことがあります。重要な判断の前に、下の原文と参照URLを確認してください。
SiYuanの3.8.9より前の版には、認証済みの閲覧者(Readerの権限)が、認証情報を含む名前のウィジェットファイルを取得できる脆弱性があります。公開に使われているウィジェットでは、APIキーやトークンなどの秘密情報が漏れるおそれがあります。修正版の3.8.9が公開されているので、速やかに更新してください。
影響パッケージ
| パッケージ | 影響を受ける版 → 修正版 | |
|---|---|---|
| siyuan-notesiyuan |
3.8.9 未満→ 3.8.9 |
3.8.9 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
SiYuan before 3.8.9 contains an information disclosure vulnerability that allows authenticated Reader users to retrieve credential-named widget files by bypassing the sensitive-path guard in getFile. Attackers can request paths like /data/widgets//credentials.json for publish-referenced widgets to obtain API keys, tokens, or other stored secrets.
出典: CVE.org (CVE Program・cvelistV5) NVD