CVE-2026-114375
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
W leomoon-studios wiki-go do wersji 1.9.1 funkcja RenameFileHandler w pliku internal/handlers/files.go (komponent Files Rename API) jest podatna na path traversal poprzez manipulację argumentami currentPath/newName. Atak można zainicjować zdalnie, a publiczny exploit może być wykorzystywany w atakach.
Ocena ryzyka
Zdalny atakujący może wykorzystać path traversal do manipulacji plikami poza zamierzonym katalogiem, co może prowadzić do nieautoryzowanego dostępu lub modyfikacji plików.
Rekomendacja
Zaktualizuj wiki-go do wersji 1.9.2, która zawiera poprawkę (commit 81cd12e248314a52605f0f39718c8a76272eac29).
Inne podatności w wiki-go
Zobacz wszystkie- CVE-2026-114377Niskie
W leomoon-studios wiki-go do wersji 1.9.1 funkcja DeleteComment w pliku internal/comments/comments.go (obsługa usuwania komentarzy) jest podatna na path traversal poprzez manipulację argumentem documentPath. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.9.2 (commit 224ef2a11facddef6b3a3c1f0a69156d1e574a33) rozwiązuje problem.
- CVE-2026-114376Średnie
W leomoon-studios wiki-go do wersji 1.9.1 funkcje SaveHandler/SourceHandler w pliku internal/handlers/editor.go (komponent API) są podatne na path traversal poprzez manipulację danymi wejściowymi. Atak można przeprowadzić zdalnie, a publiczny exploit może być wykorzystywany w atakach.
- CVE-2026-114374Średnie
W leomoon-studios wiki-go do wersji 1.9.1 zidentyfikowano podatność w nieznanej funkcji pliku internal/handlers/metadata_api.go komponentu fetch-metadata Endpoint. Manipulacja prowadzi do server-side request forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security flaw has been discovered in leomoon-studios wiki-go up to 1.9.1. Affected is the function RenameFileHandler of the file internal/handlers/files.go of the component Files Rename API. Performing a manipulation of the argument currentPath/newName results in path traversal. The attack can be initiated remotely. The exploit has been released to the public and may be used for attacks. Upgrading to version 1.9.2 is able to address this issue. The patch is named 81cd12e248314a52605f0f39718c8a76272eac29. It is recommended to upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS