CVE-2026-53528
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 27 - wyżej niż 27% wszystkich znanych CVE
Streszczenie
LeafWiki w wersjach 0.3.0 do 0.10.0 ma podatność na path traversal w funkcji zmiany nazwy zasobów. Uwierzytelniony użytkownik z uprawnieniami edytora może przenieść pliki dostępne dla procesu LeafWiki do katalogu zasobów strony, co może umożliwić pobranie wrażliwych plików, takich jak baza danych. Zalecana jest aktualizacja do wersji 0.10.1 lub nowszej.
Ocena ryzyka
Atakujący może uzyskać dostęp do wrażliwych plików systemowych, co może prowadzić do wycieku danych lub naruszenia integralności aplikacji.
Rekomendacja
Zaktualizuj LeafWiki do wersji 0.10.1 lub nowszej. Ogranicz uprawnienia procesu LeafWiki i dostęp edytorów tylko do zaufanych użytkowników.
Inne podatności w LeafWiki
Zobacz wszystkie- CVE-2026-80189Średnie
LeafWiki rozpakowuje przesłane archiwum ZIP bez ograniczania ilości zapisywanych danych. Funkcja ZipExtractor.ExtractToDir w internal/importer/zip_extractor.go otwiera każdy wpis i kopiuje go do miejsca docelowego za pomocą io.Copy, które działa do końca strumienia dekompresji, więc tylko rozmiar przesłanego archiwum jest ograniczony, a nie rozmiar po rozpakowaniu. Trasa importu wymaga roli Editor lub Admin, a sam upload jest ograniczony do 500 MiB skompresowanych. Ponieważ wpis ZIP może być bardzo mocno skompresowany, archiwum poniżej tego limitu może rozpakować się do setek gigabajtów. Katalog ekstrakcji domyślnie znajduje się w katalogu tymczasowym systemu operacyjnego, więc zapisywane dane zużywają dysk, a w przypadku katalogu tmpfs – pamięć. Użytkownik z rolą Editor może więc wyczerpać zasoby magazynu, na którym działa usługa, i uniemożliwić jej działanie, używając znacznie więcej zasobów niż pozwala limit uploadu.
- CVE-2026-53529Średnie
LeafWiki to samodzielnie hostowane wiki. Przed wersją 0.10.2 tytuły stron zwracane przez API wyszukiwania mogły być renderowane jako surowy HTML we frontendzie. Użytkownik z uprawnieniami edytora lub administratora mógł utworzyć lub zmodyfikować tytuł strony zawierający kod HTML/JavaScript. Gdy inny użytkownik wyszukał pasujący termin, kod mógł wykonać się w przeglądarce ofiary. Wpływ zależy od konfiguracji wdrożenia. Przy włączonym `--public-access` mogli być dotknięci nieuwierzytelnieni odwiedzający. W wdrożeniach tylko z uwierzytelnianiem problem mógł być użyty do XSS między użytkownikami zalogowanymi, którzy mają dostęp do wyników wyszukiwania. Problem został naprawiony w wersji 0.10.2 poprzez zapewnienie, że tytuły stron kontrolowane przez autora nie są interpretowane jako surowy HTML przez przeglądarkę, przy zachowaniu podświetlania wyników wyszukiwania.
- CVE-2026-53527Wysokie
LeafWiki w wersjach 0.1.0 do 0.10.0 zawiera podatność na eskalację uprawnień w API aktualizacji użytkownika. Zalogowany użytkownik może zmienić swoją rolę z np. 'viewer' na 'admin'. Wymaga to posiadania ważnego konta w LeafWiki.
Oryginalny opis (angielski, źródło NVD)
LeafWiki is a self-hosted wiki. Versions 0.3.0 through 0.10.0 have a path traversal vulnerability in LeafWiki’s asset rename functionality. An authenticated user with editor permissions could move files that are accessible to the LeafWiki server process into a page’s asset directory. This could allow sensitive local files, such as the application database, to become downloadable as page assets. Users should update to version 0.10.1 or greater. As an additional mitigation, operators should ensure that the LeafWiki process runs with the least privileges necessary and does not have filesystem access to sensitive files outside the application’s required directories. Until a patch is applied, operators may reduce risk by restricting editor access to trusted users only and by limiting the filesystem permissions of the LeafWiki process.