CVE-2026-32938
Təsvir
SiYuan fərdi biliklərin idarəetmə sistemidir. 3.6.0 və daha aşağı versiyalarda, masaüstü tətbiqin /api/lute/html2BlockDOM nöqtəsi yapışdırılmış HTML-dəki file:// linkləri ilə göstərilən yerli faylları, yolları həssas yollar siyahısına qarşı yoxlamadan iş sahəsinin aktivlər (assets) kataloquna kopyalayır. Yalnız autentifikasiya tələb edən GET /assets/*path sorğusu ilə birlikdə, nəşr xidməti ziyarətçisi masaüstü nüvənin oxuna bilən hər hansı həssas faylı kopyalamasına və sonra onu GET vasitəsilə oxumasına səbəb ola bilər ki, bu da həssas faylların sızmasına gətirib çıxarır. Bu problem 3.6.1 versiyasında düzəldilmişdir.
Necə düzəltmək olar
- b3log siyuan3.6.1 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| b3log siyuan | v < 3.6.1 | 3.6.1 |
| github.com/siyuan-note/siyuan/kernelGo | v ≤ 0.0.0-20260313024916-fd6526133bb3, Aralıq göstərilməyib | — |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.