SiYuan before v3.7.4 (affected <=v3.7.2) fails to enforce publish-access filters on five filetree path-resolution endpoints (getFullHPathByID, getHPathByID, getPathByID, getIDsByHPath, and getHPathByPath). In publish mode, when Publish.Auth.Enable is false, an unauthenticated (anonymous) reader — or any publish reader token — can call these endpoints to enumerate the complete private document tree, mapping notebook names, folder hierarchies, and document titles, and resolving title paths to document IDs, including for documents marked hidden, password-protected, or publish-forbidden.
References
Configurations
No configuration.
History
23 Oct 2026, 22:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary | (es) SiYuan antes de la v3.7.4 (afectado menor o igual a v3.7.2) no aplica filtros de acceso de publicación en cinco puntos finales de resolución de rutas del árbol de archivos (getFullHPathByID, getHPathByID, getPathByID, getIDsByHPath y getHPathByPath). En modo de publicación, cuando Publish.Auth.Enable es falso, un lector no autenticado (anónimo) - o cualquier token de lector de publicación - puede llamar a estos puntos finales para enumerar el árbol de documentos privado completo, mapeando nombres de cuadernos, jerarquías de carpetas y títulos de documentos, y resolviendo rutas de títulos a ID de documentos, incluso para documentos marcados como ocultos, protegidos con contraseña o con publicación prohibida. |
23 Oct 2026, 19:10
| Type | Values Removed | Values Added |
|---|---|---|
| Summary |
|
Information
Published : 2026-08-12 20:17
Updated : 2026-10-23 22:10
NVD link : CVE-2026-72799
Mitre link : CVE-2026-72799
CVE.ORG link : CVE-2026-72799
JSON object : View
Products Affected
No product.
CWE
CWE-862
Missing Authorization