CVE-2026-80189
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 34 - wyżej niż 34% wszystkich znanych CVE
Streszczenie
LeafWiki rozpakowuje przesłane archiwum ZIP bez ograniczania ilości zapisywanych danych. Funkcja ZipExtractor.ExtractToDir w internal/importer/zip_extractor.go otwiera każdy wpis i kopiuje go do miejsca docelowego za pomocą io.Copy, które działa do końca strumienia dekompresji, więc tylko rozmiar przesłanego archiwum jest ograniczony, a nie rozmiar po rozpakowaniu. Trasa importu wymaga roli Editor lub Admin, a sam upload jest ograniczony do 500 MiB skompresowanych. Ponieważ wpis ZIP może być bardzo mocno skompresowany, archiwum poniżej tego limitu może rozpakować się do setek gigabajtów. Katalog ekstrakcji domyślnie znajduje się w katalogu tymczasowym systemu operacyjnego, więc zapisywane dane zużywają dysk, a w przypadku katalogu tmpfs – pamięć. Użytkownik z rolą Editor może więc wyczerpać zasoby magazynu, na którym działa usługa, i uniemożliwić jej działanie, używając znacznie więcej zasobów niż pozwala limit uploadu.
Ocena ryzyka
Atak może doprowadzić do wyczerpania miejsca na dysku lub pamięci, co skutkuje brakiem dostępności usługi (DoS). Wymaga konta z rolą Editor lub Admin.
Rekomendacja
Zaktualizuj LeafWiki do wersji z poprawką. Ogranicz uprawnienia użytkowników i wdróż limity rozmiaru rozpakowanych plików.
Inne podatności w LeafWiki
Zobacz wszystkie- CVE-2026-53529Średnie
LeafWiki to samodzielnie hostowane wiki. Przed wersją 0.10.2 tytuły stron zwracane przez API wyszukiwania mogły być renderowane jako surowy HTML we frontendzie. Użytkownik z uprawnieniami edytora lub administratora mógł utworzyć lub zmodyfikować tytuł strony zawierający kod HTML/JavaScript. Gdy inny użytkownik wyszukał pasujący termin, kod mógł wykonać się w przeglądarce ofiary. Wpływ zależy od konfiguracji wdrożenia. Przy włączonym `--public-access` mogli być dotknięci nieuwierzytelnieni odwiedzający. W wdrożeniach tylko z uwierzytelnianiem problem mógł być użyty do XSS między użytkownikami zalogowanymi, którzy mają dostęp do wyników wyszukiwania. Problem został naprawiony w wersji 0.10.2 poprzez zapewnienie, że tytuły stron kontrolowane przez autora nie są interpretowane jako surowy HTML przez przeglądarkę, przy zachowaniu podświetlania wyników wyszukiwania.
- CVE-2026-53528Wysokie
LeafWiki w wersjach 0.3.0 do 0.10.0 ma podatność na path traversal w funkcji zmiany nazwy zasobów. Uwierzytelniony użytkownik z uprawnieniami edytora może przenieść pliki dostępne dla procesu LeafWiki do katalogu zasobów strony, co może umożliwić pobranie wrażliwych plików, takich jak baza danych. Zalecana jest aktualizacja do wersji 0.10.1 lub nowszej.
- CVE-2026-53527Wysokie
LeafWiki w wersjach 0.1.0 do 0.10.0 zawiera podatność na eskalację uprawnień w API aktualizacji użytkownika. Zalogowany użytkownik może zmienić swoją rolę z np. 'viewer' na 'admin'. Wymaga to posiadania ważnego konta w LeafWiki.
Oryginalny opis (angielski, źródło NVD)
LeafWiki extracts an uploaded ZIP archive without limiting how much data it will write. ZipExtractor.ExtractToDir in internal/importer/zip_extractor.go opens each entry and copies it to the destination with io.Copy, which runs to the end of the decompressed stream, so only the size of the uploaded archive is bounded and the size it expands to is not. The import route that reaches this code requires the Editor or Admin role, and the upload itself is capped at 500 MiB compressed. Because a ZIP entry can compress at a very high ratio, an archive well inside that cap can expand to hundreds of gigabytes as it is written out. The extraction directory defaults to a location under the operating system temporary directory, so the written data consumes the disk backing that path, which on a tmpfs-backed temporary directory is memory. A user holding the Editor role can therefore exhaust the storage the service depends on and keep it from serving, using far more resource than the upload limit alone would permit.