CVE-2026-118680
CVE-2026-118680 · SiYuan 3.8.7 through 3.8.8 Path Traversal via GLOBALROOT Alias
Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.
SiYuan 3.8.7 through 3.8.8 fails to normalize Windows GLOBALROOT device-namespace aliases, bypassing the IsSensitivePath denylist. Attackers can invoke importStdMd with a GLOBALROOT-prefixed path to copy the API token and TLS private key into the publicly served assets directory.
CVSS 5.9 · Media · EPSS 0,5%
- Publicación
- Actualización
Productos y versiones afectados
siyuan
- Versiones
- ≥ 3.8.7, ≤ 3.8.8: Afectada (semver)
Sin corrección publicada