CVE-2026-109309
Orta
Açıklama
v3.8.6 öncesindeki SiYuan v3.7.0 sürümü, çekirdeğin özel eklenti HTTP sunucusunda bir mutlak yol aşımı (absolute path traversal) zafiyeti içermektedir; bu zafiyet, bir çekirdek eklenti işleyicisinin ResponseFile.Path değerini herhangi bir doğrulama yapmadan gin'in Context.File fonksiyonuna iletmesinden kaynaklanmaktadır. Kötü niyetli bir çekirdek eklentisi sağlayan saldırganlar, API belirteci ve conf.json dahil olmak üzere SiYuan işlemi tarafından okunabilen herhangi bir dosyayı okumak için mutlak bir yol döndürebilir.
ÖnemOrta
CVSS6.5
İstismar olasılığı—
ÜrünSiyuan
Yayın12 Eki 2026
İlk görülme12 Eki 2026
Zayıflık türüCWE-22Dizin geçişi (path traversal)
Nasıl düzeltilir
Güncelleyin
- siyuan-note siyuan3.8.6 ya da sonraki bir sürüm
Üretici duyuruları
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| siyuan-note siyuan | 3.7.0 ≤ v < 3.8.6 | 3.8.6 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.