CVE-2026-87810: утечка информации в Siyuan через fullTextSearchBlock
В Siyuan до версии 3.8.2 обнаружена уязвимость раскрытия информации в эндпоинте POST /api/search/fullTextSearchBlock. Неаутентифицированные читатели в режиме публикации могут узнать, существует ли искомый контент в скрытых или неопубликованных документах, а также получить количество совпадающих блоков и страниц. Уровень опасности — средний (CVSS 6.9).
Подробности
Уязвимость присутствует в Siyuan версий до v3.8.2. Она локализована в эндпоинте POST /api/search/fullTextSearchBlock. Логика работы эндпоинта такова: при обработке поискового запроса он корректно исключает приватные блоки из выдаваемых результатов, однако возвращает количество совпадений без применения этой фильтрации. В результате неаутентифицированный пользователь, имеющий доступ к экземпляру Siyuan в режиме публикации (publish mode), может отправлять произвольные поисковые запросы. По возвращаемому числу совпадений он способен определить, присутствует ли интересующий его контент в скрытых или неопубликованных документах, а также установить точное количество совпадающих блоков и страниц. Прямого доступа к тексту заметок это не даёт, но позволяет проводить целенаправленный анализ и делать выводы о содержимом закрытых материалов. Уязвимости присвоен базовый балл CVSS 6.9, что соответствует среднему уровню опасности. Затронутый продукт — siyuan-note siyuan.Что делать
Основная рекомендация — обновить Siyuan до версии 3.8.2 или более поздней, в которой проблема устранена. После обновления фильтрация приватных блоков применяется и к подсчёту совпадений, что закрывает вектор утечки. Если немедленное обновление невозможно, стоит рассмотреть временные митигации: ограничить сетевой доступ к экземпляру Siyuan (в частности, к режиму публикации) доверенными пользователями и сетями, использовать аутентификацию на уровне обратного прокси и не публиковать экземпляры в открытом доступе без необходимости. Также целесообразно проверить журналы обращений к эндпоинту /api/search/fullTextSearchBlock на предмет подозрительной поисковой активности.Итог
CVE-2026-87810 — умеренно опасная уязвимость раскрытия информации в Siyuan, вызванная неполной фильтрацией при подсчёте результатов поиска. Прямая утечка текста заметок не происходит, однако злоумышленник может получить метаданные о скрытом содержимом. Наиболее надёжное решение — обновление до v3.8.2; до его установки рекомендуется ограничить доступ к публичным экземплярам.Источник: CVE Project (cvelistV5)