Podatności wiki-go

W leomoon-studios wiki-go do wersji 1.9.1 funkcja DeleteComment w pliku internal/comments/comments.go (obsługa usuwania komentarzy) jest podatna na path traversal poprzez manipulację argumentem documentPath. Atak można zainicjować zdalnie, a exploit został publicznie ujawniony. Aktualizacja do wersji 1.9.2 (commit 224ef2a11facddef6b3a3c1f0a69156d1e574a33) rozwiązuje problem.

W leomoon-studios wiki-go do wersji 1.9.1 funkcje SaveHandler/SourceHandler w pliku internal/handlers/editor.go (komponent API) są podatne na path traversal poprzez manipulację danymi wejściowymi. Atak można przeprowadzić zdalnie, a publiczny exploit może być wykorzystywany w atakach.

W leomoon-studios wiki-go do wersji 1.9.1 funkcja RenameFileHandler w pliku internal/handlers/files.go (komponent Files Rename API) jest podatna na path traversal poprzez manipulację argumentami currentPath/newName. Atak można zainicjować zdalnie, a publiczny exploit może być wykorzystywany w atakach.

W leomoon-studios wiki-go do wersji 1.9.1 zidentyfikowano podatność w nieznanej funkcji pliku internal/handlers/metadata_api.go komponentu fetch-metadata Endpoint. Manipulacja prowadzi do server-side request forgery (SSRF). Atak można przeprowadzić zdalnie, a exploit jest publicznie dostępny.