CVE-2026-25539
Kritik
Təsvir
SiYuan fərdi biliklərin idarəetmə sistemidir. Versiya 3.5.5-dən əvvəl /api/file/copyFile son nöqtəsi (endpoint) dest parametrini yoxlamır və bu, autentifikasiya olunmuş istifadəçilərə fayl sistemində ixtiyari yerlərə faylların yazılmasına imkan verir. Bu, cron tapşırıqları, SSH authorized_keys və ya shell konfiqurasiya faylları kimi həssas yerlərə yazı yazmaqla uzaqdan kodun icrasına (RCE) səbəb ola bilər. Bu problem versiya 3.5.5-də aradan qaldırılmışdır.
CiddilikKritik
CVSS9.1
İstismar ehtimalı—
MəhsulB3log Siyuan
Dərc4 fev 2026
İlk görülmə4 fev 2026
Zəiflik növüCWE-22Kataloq keçidi (path traversal)
Necə düzəltmək olar
Mənbələrdə bu zəiflik üçün düzəldilmiş versiya və ya yamaq keçidi yoxdur.
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| b3log siyuan | v ≤ 3.5.3 | — |
| github.com/siyuan-note/siyuan/kernelGo | v ≤ 0.0.0-20260126094835-d5d10dd41b0c, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Intelligence 360 paketində
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.