CVE-2026-114377
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
W leomoon-studios wiki-go do wersji 1.9.1 funkcja DeleteComment w pliku internal/comments/comments.go (obsługa usuwania komentarzy) jest podatna na path traversal poprzez manipulację argumentem documentPath. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.9.2 (commit 224ef2a11facddef6b3a3c1f0a69156d1e574a33) rozwiązuje problem.
Ocena ryzyka
Zdalny atakujący może wykorzystać path traversal do usuwania lub manipulowania plikami poza zamierzonym katalogiem, co może prowadzić do utraty danych lub naruszenia integralności aplikacji.
Rekomendacja
Zaktualizuj wiki-go do wersji 1.9.2. Jeśli aktualizacja nie jest możliwa, ogranicz dostęp do funkcji usuwania komentarzy.
Inne podatności w wiki-go
Zobacz wszystkie- CVE-2026-114376Średnie
W leomoon-studios wiki-go do wersji 1.9.1 funkcje SaveHandler/SourceHandler w pliku internal/handlers/editor.go (komponent API) są podatne na path traversal poprzez manipulację danymi wejściowymi. Atak można przeprowadzić zdalnie, a publiczny exploit może być wykorzystywany w atakach.
- CVE-2026-114375Średnie
W leomoon-studios wiki-go do wersji 1.9.1 funkcja RenameFileHandler w pliku internal/handlers/files.go (komponent Files Rename API) jest podatna na path traversal poprzez manipulację argumentami currentPath/newName. Atak można zainicjować zdalnie, a publiczny exploit może być wykorzystywany w atakach.
- CVE-2026-114374Średnie
W leomoon-studios wiki-go do wersji 1.9.1 zidentyfikowano podatność w nieznanej funkcji pliku internal/handlers/metadata_api.go komponentu fetch-metadata Endpoint. Manipulacja prowadzi do server-side request forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.
Oryginalny opis (angielski, źródło NVD)
A security vulnerability has been detected in leomoon-studios wiki-go up to 1.9.1. Affected by this issue is the function DeleteComment of the file internal/comments/comments.go of the component Comment Deletion Handler. The manipulation of the argument documentPath leads to path traversal. The attack may be initiated remotely. The exploit has been disclosed publicly and may be used. Upgrading to version 1.9.2 can resolve this issue. The identifier of the patch is 224ef2a11facddef6b3a3c1f0a69156d1e574a33. It is advisable to upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS