GHSA 披露 SiYuan 隐藏文档泄露漏洞

GitHub 安全公告库披露 SiYuan 一个发布过滤缺陷（GHSA-p4qw-vx5p-g984）：在开启发布模式、且 `Publish.Auth.Enable` 为 false 时，匿名读者可借 `/api/av/getAttributeViewBacklinks` 接口读到本应隐藏的文档。原因是该接口用 `GetDisablePublishAccess` 取忽略列表，只覆盖 forbidden 层级，漏掉了 hidden 层级。 公告称，攻击者只需拿到发布页 DOM 中已有的 `avID` 和 `itemID`，泄露范围仅限 hidden 层级。建议的修复是把该接口的列表解析改为 `GetInvisiblePublishAccess`，与常规反链路径的 `FilterPathsByPublishAccess` 保持一致。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。