SiYuan发布模式存储过滤不全致数据泄露

GitHub 安全公告库（GHSA）披露，SiYuan 发布模式的过滤器 FilterLocalStorageByPublishAccess 只清理三个键，导致管理员本地存储数据可被未授权读取。公告称，/api/storage/getLocalStorage、getLocalStorageVal 与 getLocalStorageVals 三个路由只挂 CheckAuth，发布读者令牌即可访问；当 Publish.Auth.Enable 为 false 时，匿名请求也能取回数据。 触发前提是启用发布模式（默认端口 6808）。公告称该问题仅涉及机密性：不返回文档正文，也不写入任何内容。

AI 根据报道生成 · 1 小时前更新

还没有足够的连续观测数据，暂不绘制趋势。