CVE-2026-59854
Açıklama
SiYuan açık kaynaklı bir kişisel bilgi yönetim sistemidir. 3.7.1 sürümünden önce, POST /api/file/globalCopyFiles uç noktası saldırgan tarafından sağlanan mutlak kaynak yollarını kabul etmekte ve kernel/util/path.go dosyasındaki util.IsSensitivePath fonksiyonuna güvenmektedir; ancak bu fonksiyonun engelleme listesinde .git-credentials, .netrc, .pgpass, .kube/config, .docker/config.json ve .gnupg gibi yaygın ev dizini kimlik bilgisi dosyaları eksiktir. Bu durum, kimliği doğrulanmış bir yöneticinin veya API-token kullanıcısının söz konusu dosyaları çalışma alanına kopyalamasına ve dosya API'si aracılığıyla dışarı sızdırmasına olanak tanır. Bu sorun 3.7.1-alpha.2 ve 3.7.1 sürümlerinde düzeltilmiştir.
Nasıl düzeltilir
Kaynaklarda bu zafiyet için düzeltilmiş sürüm ya da yama bağlantısı yok.
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| siyuan-note siyuan | < 3.7.1 | — |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.