CVE-2026-54053
Açıklama
Many Notes, basitlik için tasarlanmış bir Markdown not alma web uygulamasıdır. 0.16.0 sürümünden önce, app/Actions/ProcessImportedVault.php dosyasında uygulanan ZIP kasa içe aktarma özelliği, üst dizin geçiş segmentleri içeren arşiv dosya adlarını kabul etmektedir. Kimliği doğrulanmış bir kullanıcı, içe aktıran kullanıcının kasasının dışına ve mevcut dosyaların üzerine yazmak da dahil olmak üzere diğer kullanıcıların kasalarına rastgele dosyalar yazabilir. Gizlenmiş SVG içeriği başka bir kullanıcının kasasına yerleştirilebilir ve mağdur bu kasayı açtığında depolanan siteler arası betik çalıştırma (XSS) tetiklenebilir. Bu sorun 0.16.0 sürümünde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| brufdev many-notes | < 0.16.0 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.