CVE-2026-109309

Nome do Software Vulnerável e Versões Afetadas SiYuan versões 3.7.0 até 3.8.5

Descrição Um problema de travessia de caminho absoluto existe no servidor HTTP de plugins privados do kernel. O servidor passa o ResponseFile.Path de um manipulador de plugin do kernel para a função Context.File sem a validação adequada. Isso permite que um invasor que forneça um plugin de kernel malicioso especifique um caminho absoluto e leia qualquer arquivo acessível pelo processo SiYuan, como o token de API e o arquivo conf.json.

Recomendações Atualize o SiYuan para a versão 3.8.6 ou posterior.