GHSA披露SiYuan发布访问接口信息泄露漏洞

GitHub安全公告库（GHSA）披露SiYuan存在访问层级泄露漏洞：/api/filetree/authFilePublishAccess 接口仅注册 CheckAuth，匿名可达，且失败路径从不设置 ret.Ret。在启用发布模式、Publish.Auth.Enable 为 false 时，匿名读者或任意发布 RoleReader 可通过响应差异区分任意文档标识的访问层级，并确认隐藏和禁止层级文档的存在。 公告称，该漏洞不泄露文档内容，也不获得权限，因为这些层级签发的 publish-auth cookie 无效。开发分支上同一接口还会额外暴露标识是否属于加密笔记本。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。