PT-2024-35766 · Siyuan · Siyuan

88250 · Publicado 2024-11-29 · Atualizado 2024-12-02 · CVE-2024-53506

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Siyuan versão 3.1.11

Descrição

Foi identificada uma vulnerabilidade de injeção de SQL no Siyuan por meio do parâmetro de matriz ids no endpoint da API “/batchGetBlockAttrs”. Isso permite uma possível exploração.

Recomendações

Para o Siyuan versão 3.1.11, como solução temporária, considere restringir o acesso ao endpoint da API /batchGetBlockAttrs ou sanitizar o parâmetro de matriz ids para evitar ataques de injeção de SQL até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2024-53506

Produtos afetados

Siyuan

Referências · 7

• https://github.com/siyuan-note/siyuan/issues/13077 · Aviso do Fabricante
• https://github.com/siyuan-note/siyuan/issues/13060 · Aviso do Fabricante
• https://t.me/cvedetector/11690 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2024-53506 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2024-53506 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/1862808629167980885 · Publicação no Twitter
• https://twitter.com/CVEnew/status/1862578844114272702 · Publicação no Twitter