CVE-2026-53527
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
LeafWiki w wersjach 0.1.0 do 0.10.0 zawiera podatność na eskalację uprawnień w API aktualizacji użytkownika. Zalogowany użytkownik może zmienić swoją rolę z np. 'viewer' na 'admin'. Wymaga to posiadania ważnego konta w LeafWiki.
Ocena ryzyka
Ryzyko polega na tym, że zwykły użytkownik może uzyskać pełne uprawnienia administratora, co może prowadzić do nieautoryzowanych zmian w wiki i naruszenia integralności danych.
Rekomendacja
Zaktualizuj LeafWiki do wersji 0.10.1 lub nowszej. Do czasu aktualizacji ogranicz tworzenie kont i dostęp do API aktualizacji użytkownika tylko dla zaufanych osób.
Inne podatności w LeafWiki
Zobacz wszystkie- CVE-2026-80189Średnie
LeafWiki rozpakowuje przesłane archiwum ZIP bez ograniczania ilości zapisywanych danych. Funkcja ZipExtractor.ExtractToDir w internal/importer/zip_extractor.go otwiera każdy wpis i kopiuje go do miejsca docelowego za pomocą io.Copy, które działa do końca strumienia dekompresji, więc tylko rozmiar przesłanego archiwum jest ograniczony, a nie rozmiar po rozpakowaniu. Trasa importu wymaga roli Editor lub Admin, a sam upload jest ograniczony do 500 MiB skompresowanych. Ponieważ wpis ZIP może być bardzo mocno skompresowany, archiwum poniżej tego limitu może rozpakować się do setek gigabajtów. Katalog ekstrakcji domyślnie znajduje się w katalogu tymczasowym systemu operacyjnego, więc zapisywane dane zużywają dysk, a w przypadku katalogu tmpfs – pamięć. Użytkownik z rolą Editor może więc wyczerpać zasoby magazynu, na którym działa usługa, i uniemożliwić jej działanie, używając znacznie więcej zasobów niż pozwala limit uploadu.
- CVE-2026-53529Średnie
LeafWiki to samodzielnie hostowane wiki. Przed wersją 0.10.2 tytuły stron zwracane przez API wyszukiwania mogły być renderowane jako surowy HTML we frontendzie. Użytkownik z uprawnieniami edytora lub administratora mógł utworzyć lub zmodyfikować tytuł strony zawierający kod HTML/JavaScript. Gdy inny użytkownik wyszukał pasujący termin, kod mógł wykonać się w przeglądarce ofiary. Wpływ zależy od konfiguracji wdrożenia. Przy włączonym `--public-access` mogli być dotknięci nieuwierzytelnieni odwiedzający. W wdrożeniach tylko z uwierzytelnianiem problem mógł być użyty do XSS między użytkownikami zalogowanymi, którzy mają dostęp do wyników wyszukiwania. Problem został naprawiony w wersji 0.10.2 poprzez zapewnienie, że tytuły stron kontrolowane przez autora nie są interpretowane jako surowy HTML przez przeglądarkę, przy zachowaniu podświetlania wyników wyszukiwania.
- CVE-2026-53528Wysokie
LeafWiki w wersjach 0.3.0 do 0.10.0 ma podatność na path traversal w funkcji zmiany nazwy zasobów. Uwierzytelniony użytkownik z uprawnieniami edytora może przenieść pliki dostępne dla procesu LeafWiki do katalogu zasobów strony, co może umożliwić pobranie wrażliwych plików, takich jak baza danych. Zalecana jest aktualizacja do wersji 0.10.1 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
LeafWiki is a self-hosted wiki. Versions 0.1.0 through 0.10.0 have a privilege escalation vulnerability in the user update API. An authenticated user could update their own account role and escalate privileges from a regular user, such as `viewer`, to `admin`. Exploitation requires a valid authenticated LeafWiki user account. Instances without public registration and with only trusted users are at lower practical risk. Users should update to version 0.10.1 or greater. Until a patch is available, operators should restrict account creation and ensure that only trusted users have accounts on affected LeafWiki instances. If possible, access to the user update API should be restricted to trusted users or administrators only.