CVE-2026-32749
Təsvir
SiYuan fərdi biliklərin idarəetmə sistemidir. 3.6.0 və daha aşağı versiyalarda, POST /api/import/importSY və POST /api/import/importZipMd sorğuları yüklənmiş arxivləri multipart fayl adı sahəsindən törəyən yola təmizləmə aparmadan yazır ki, bu da administratora müvəqqəti kataloqdan kənarda olan istənilən yerə — o cümlədən uzaqdan kodun icrasına (RCE) imkan verən sistem yollarına faylların yazılmasına şərait yaradır. Bu, iş sahəsi və ya tətbiq fayllarının üzərinə yazılmaqla məlumatların məhv edilməsinə səbəb ola bilər və root olaraq işləyən Docker konteynerləri üçün (ümumi standart) konteynerin tam ələ keçirilməsinə yol açır. Bu problem 3.6.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- b3log siyuan3.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| b3log siyuan | v < 3.6.1 | 3.6.1 |
| github.com/siyuan-note/siyuan/kernelGo | v ≤ 0.0.0-20260313024916-fd6526133bb3, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.