GitHub 安全公告库 (GHSA)·· 3 小时前AI 评分32
SiYuan 集市插件安装缺少 packageName 与 repoURL/repoHash 一致性校验，可覆盖已安装的可信插件
SiYuan: Missing consistency check between packageName and repoURL/repoHash in bazaar package install allows overwriting an existing, trusted plugin
AI 导读
SiYuan 的 installBazaarPlugin 等集市安装接口将 packageName 与 repoURL/repoHash 作为独立字段接收，安装路径仅由 packageName 决定、下载内容仅由 repoURL/repoHash 决定，二者无交叉校验，可覆盖已安装且已启用插件的文件。
来源：GitHub 安全公告库 (GHSA) · github.com