CVE-2021-43800

Wiki.js, Node.js üzerinde oluşturulmuş bir wiki uygulamasıdır. Versiyon 2.5.254 öncesinde, yerel varlık önbelleği getirme özelliğine sahip bir depolama modülü Windows ana bilgisayarda etkinleştirildiğinde, Wiki.js bağlamı dışında dizin gezginliği (directory traversal) mümkündür. Kötü niyetli bir kullanıcı, dizin gezginliğine izin veren özel bir URL oluşturarak dosya sistemindeki herhangi bir dosyayı potansiyel olarak okuyabilir. Bu durum yalnızca Windows üzerinde çalışan bir Wiki.js sunucusunda, yerel varlık önbelleğini uygulayan bir depolama modülü (örneğin Local File System veya Git) etkin olduğunda ve hiçbir web uygulama güvenlik duvarı çözümünün (örneğin Cloudflare) potansiyel olarak kötü niyetli URL'leri temizlemediği durumlarda mümkündür. 414033de9dff66a327e3f3243234852f468a9d85 commit numarası, yolun depolama modülüne iletilmeden önce sanitize edilmesiyle bu zafiyeti giderir. Sanitizasyon adımı, yoldaki tüm Windows dizin gezginliği dizilerini kaldırır. Geçici bir çözüm olarak, yerel varlık önbelleğe alma yeteneklerine sahip tüm depolama modülleri (Local File System, Git) devre dışı bırakılmalıdır.