CVE-2026-40318
Açıklama
SiYuan açık kaynaklı bir kişisel bilgi yönetim sistemidir. 3.6.3 ve önceki sürümlerde, /api/av/removeUnusedAttributeView uç noktası, kullanıcı kontrollü id parametresini herhangi bir doğrulama veya yol sınırı zorlaması olmaksızın kullanarak bir dosya sistemi yolu oluşturmaktadır. Bir saldırgan, hedeflenen dizinin dışına çıkmak için id değerine ../ gibi yol geçişi (path traversal) dizileri ekleyebilir ve sunucudaki genel yapılandırma dosyaları ile çalışma alanı meta verileri dahil olmak üzere rastgele .json dosyalarını silebilir. Bu sorun 3.6.4 sürümünde düzeltilmiştir.
Nasıl düzeltilir
- b3log siyuan3.6.4 ya da sonraki bir sürüm
- github.com/siyuan-note/siyuan/kernel3.6.40.0.0-20260407035653-2f416e5253f1 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| b3log siyuan | v < 3.6.4 | 3.6.4 |
| github.com/siyuan-note/siyuan/kernelGo | v < 3.6.40.0.0-20260407035653-2f416e5253f1, Aralık belirtilmemiş | 3.6.40.0.0-20260407035653-2f416e5253f1 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.