PT-2026-123012
CVE-2026-116171
·
تاريخ النشر
2026-10-25
·
تاريخ التحديث
2026-10-25
الوصف من
CVSS 3.1
7.5
عاليةالمقاييسAV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
اسم البرنامج المصاب والإصدارات المتأثرة
SiYuan الإصدارات من 3.5.4 إلى 3.8.6
الوصف
يوجد في نظام ويندوز تجاوز لقائمة المسارات الحساسة المحظورة في الدالة
IsSensitivePath. يحدث هذا لأن بادئة الطول الممتد لنظام ويندوز (?) تظل موجودة بعد عملية filepath.Clean ولا تطابق أي بادئة محظورة. يمكن لمستخدمي واجهة برمجة التطبيقات (API) المصرح لهم استغلال ذلك عن طريق إضافة هذه البادئة إلى المتغير localPath في نقطة النهاية '/api/import/importStdMd'، مما يسمح بنسخ ملفات تكوين مساحة العمل، بما في ذلك رموز API ومفاتيح TLS الخاصة، إلى أصول متاحة للعملاء غير المصرح لهم.التوصيات
التحديث إلى الإصدار 3.8.7 أو أحدث.
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾