SiYuan में प्रकाशन सेवा के भीतर मनमाना दस्तावेज़ पठन है

SiYuan में CVE-2026-33669 भेद्यता एक हमलावर को दस्तावेज़ों तक पढ़ने की पहुंच के साथ सिस्टम में सभी दस्तावेज़ों की सामग्री पढ़ने की अनुमति देती है। यह /api/file/readDir API द्वारा दस्तावेज़ ID प्राप्त करने के तरीके का लाभ उठाकर और फिर /api/block/getChildBlocks API का उपयोग करके इन दस्तावेज़ों की सामग्री तक पहुंचने से प्राप्त होता है। /api/block/getChildBlocks API में उचित सत्यापन की कमी एक हमलावर को दस्तावेज़ ID जानने के बाद उसके सभी सामग्री ब्लॉकों तक पहुंचने की अनुमति देती है, जिससे दस्तावेज़ों में संग्रहीत संभावित संवेदनशील जानकारी का खुलासा होता है। प्रभाव महत्वपूर्ण है, खासकर उन वातावरणों में जहां SiYuan का उपयोग गोपनीय जानकारी संग्रहीत करने के लिए किया जाता है।

1. आरक्षित2026-03-23
2. प्रकाशित2026-03-25
3. संशोधित2026-03-27
4. EPSS अद्यतन2026-04-03

CVE-2026-33669 के लिए प्राथमिक शमन SiYuan को संस्करण 3.6.2 या उच्चतर में अपडेट करना है। इस संस्करण में एक फिक्स शामिल है जो /api/block/getChildBlocks API के लिए अनुरोधों को उचित रूप से मान्य करता है, जिससे दस्तावेज़ सामग्री तक अनधिकृत पहुंच को रोका जा सकता है। इसके अतिरिक्त, संवेदनशील जानकारी तक पहुंच को केवल अधिकृत उपयोगकर्ताओं तक सीमित करने के लिए SiYuan में दस्तावेज़ एक्सेस अनुमतियों की समीक्षा करने की सिफारिश की जाती है। /api/file/readDir और /api/block/getChildBlocks API से संबंधित सिस्टम लॉग में संदिग्ध गतिविधि की निगरानी संभावित हमलों का पता लगाने और उनका जवाब देने में भी मदद कर सकती है।