CVE-2026-114376
ŚrednieCVSS 6.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
W leomoon-studios wiki-go do wersji 1.9.1 funkcje SaveHandler/SourceHandler w pliku internal/handlers/editor.go (komponent API) są podatne na path traversal poprzez manipulację danymi wejściowymi. Atak można przeprowadzić zdalnie, a publiczny exploit może być wykorzystywany w atakach.
Ocena ryzyka
Zdalny atakujący może wykorzystać path traversal do zapisu lub odczytu plików poza zamierzonym katalogiem, co może prowadzić do nieautoryzowanej modyfikacji lub ujawnienia danych.
Rekomendacja
Zaktualizuj wiki-go do wersji 1.9.2, która zawiera poprawkę (commit 94f7e73ef8df7c58091d72d77a5e26e9fdad98b8).
Inne podatności w wiki-go
Zobacz wszystkie- CVE-2026-114377Niskie
W leomoon-studios wiki-go do wersji 1.9.1 funkcja DeleteComment w pliku internal/comments/comments.go (obsługa usuwania komentarzy) jest podatna na path traversal poprzez manipulację argumentem documentPath. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.9.2 (commit 224ef2a11facddef6b3a3c1f0a69156d1e574a33) rozwiązuje problem.
- CVE-2026-114375Średnie
W leomoon-studios wiki-go do wersji 1.9.1 funkcja RenameFileHandler w pliku internal/handlers/files.go (komponent Files Rename API) jest podatna na path traversal poprzez manipulację argumentami currentPath/newName. Atak można zainicjować zdalnie, a publiczny exploit może być wykorzystywany w atakach.
- CVE-2026-114374Średnie
W leomoon-studios wiki-go do wersji 1.9.1 zidentyfikowano podatność w nieznanej funkcji pliku internal/handlers/metadata_api.go komponentu fetch-metadata Endpoint. Manipulacja prowadzi do server-side request forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A weakness has been identified in leomoon-studios wiki-go up to 1.9.1. Affected by this vulnerability is the function SaveHandler/SourceHandler of the file internal/handlers/editor.go of the component API. Executing a manipulation can lead to path traversal. The attack can be launched remotely. The exploit has been made available to the public and could be used for attacks. Upgrading to version 1.9.2 addresses this issue. This patch is called 94f7e73ef8df7c58091d72d77a5e26e9fdad98b8. Upgrading the affected component is advised.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS