SiYuan — это система управления персональными знаниями. До версии 3.5.10 в службе публикации SiYuan Note существовала уязвимость повышения привилегий, которая позволяла учетным записям публикации с низким уровнем привилегий (RoleReader) изменять содержимое записной книжки через конечную точку API /api/block/appendHeadingChildren. Конечной точке требуется только роль model.CheckAuth, которая принимает сеансы RoleReader, но не применяет более строгие проверки, такие как CheckAdminRole или CheckReadonly.
Это позволяет удаленно прошедшим проверку подлинности пользователям публикации с правами только на чтение добавлять новые блоки к существующим документам, ставя под угрозу целостность сохраненных заметок.
Показать оригинальное описание (EN)
SiYuan is a personal knowledge management system. Prior to 3.5.10, a privilege escalation vulnerability exists in the publish service of SiYuan Note that allows low-privilege publish accounts (RoleReader) to modify notebook content via the /api/block/appendHeadingChildren API endpoint. The endpoint requires only the model.CheckAuth role, which accepts RoleReader sessions, but it does not enforce stricter checks, such as CheckAdminRole or CheckReadonly. This allows remote authenticated publish users with read-only privileges to append new blocks to existing documents, compromising the integrity of stored notes.
Характеристики атаки
Последствия
Строка CVSS v3.1