SiYuanの脆弱性、認証済みの閲覧者に認証情報ファイルが読まれるおそれ
Summary
SiYuanの3.8.9より前の版には、認証済みの閲覧者(Readerの権限)が、認証情報を含む名前のウィジェットファイルを取得できる脆弱性があります。公開に使われているウィジェットでは、APIキーやトークンなどの秘密情報が漏れるおそれがあります。修正版の3.8.9が公開されているので、速やかに更新してください。
AI summary
Produced by SecPulse using an external AI model; it may contain mistakes. Check the original description and references below before acting on it.
SiYuanの3.8.9より前の版には、認証済みの閲覧者(Readerの権限)が、認証情報を含む名前のウィジェットファイルを取得できる脆弱性があります。公開に使われているウィジェットでは、APIキーやトークンなどの秘密情報が漏れるおそれがあります。修正版の3.8.9が公開されているので、速やかに更新してください。
Affected packages
| Package | Affected → Fixed | |
|---|---|---|
| siyuan-notesiyuan |
< 3.8.9→ 3.8.9 |
3.8.9 |
Original description The description as published by the source.
SiYuan before 3.8.9 contains an information disclosure vulnerability that allows authenticated Reader users to retrieve credential-named widget files by bypassing the sensitive-path guard in getFile. Attackers can request paths like /data/widgets//credentials.json for publish-referenced widgets to obtain API keys, tokens, or other stored secrets.
Source: CVE.org (CVE Program・cvelistV5) NVD