CVE-2026-118680
CVE-2026-118680 · SiYuan 3.8.7 through 3.8.8 Path Traversal via GLOBALROOT Alias
Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.
SiYuan 3.8.7 through 3.8.8 fails to normalize Windows GLOBALROOT device-namespace aliases, bypassing the IsSensitivePath denylist. Attackers can invoke importStdMd with a GLOBALROOT-prefixed path to copy the API token and TLS private key into the publicly served assets directory.
CVSS 5.9 · Moyenne · EPSS 0,5%
- Publication
- Mise à jour
Produits et versions concernés
siyuan
- Versions du logiciel
- ≥ 3.8.7, ≤ 3.8.8: Concernée (semver)
Aucun correctif publié