CVE-2026-114374
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
W leomoon-studios wiki-go do wersji 1.9.1 zidentyfikowano podatność w nieznanej funkcji pliku internal/handlers/metadata_api.go komponentu fetch-metadata Endpoint. Manipulacja prowadzi do server-side request forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Ocena ryzyka
Atakujący może wymusić na serwerze wykonanie żądań do wewnętrznych zasobów, co może prowadzić do ujawnienia danych lub dalszych ataków.
Rekomendacja
Zaktualizuj wiki-go do wersji 1.9.2 lub nowszej. Ogranicz dostęp sieciowy do wewnętrznych zasobów z serwera aplikacji.
Inne podatności w wiki-go
Zobacz wszystkie- CVE-2026-114377Niskie
W leomoon-studios wiki-go do wersji 1.9.1 funkcja DeleteComment w pliku internal/comments/comments.go (obsługa usuwania komentarzy) jest podatna na path traversal poprzez manipulację argumentem documentPath. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.9.2 (commit 224ef2a11facddef6b3a3c1f0a69156d1e574a33) rozwiązuje problem.
- CVE-2026-114376Średnie
W leomoon-studios wiki-go do wersji 1.9.1 funkcje SaveHandler/SourceHandler w pliku internal/handlers/editor.go (komponent API) są podatne na path traversal poprzez manipulację danymi wejściowymi. Atak można przeprowadzić zdalnie, a publiczny exploit może być wykorzystywany w atakach.
- CVE-2026-114375Średnie
W leomoon-studios wiki-go do wersji 1.9.1 funkcja RenameFileHandler w pliku internal/handlers/files.go (komponent Files Rename API) jest podatna na path traversal poprzez manipulację argumentami currentPath/newName. Atak można zainicjować zdalnie, a publiczny exploit może być wykorzystywany w atakach.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was identified in leomoon-studios wiki-go up to 1.9.1. This impacts an unknown function of the file internal/handlers/metadata_api.go of the component fetch-metadata Endpoint. Such manipulation leads to server-side request forgery. It is possible to launch the attack remotely. The exploit is publicly available and might be used. Upgrading to version 1.9.2 will fix this issue. The name of the patch is 25498ebf5c012b870967e38eec2a1e5133fa1a83. Upgrading the affected component is recommended.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS