Veille CVE

‹ Retour à la liste

CVE-2026-109309

6.5 Moyenne

Publiée le 12/10/2026 à 19:17 · Modifiée le 13/10/2026 à 19:17 · Analyse NVD reportée · Source : disclosure@vulncheck.com

Description

SiYuan v3.7.0 before v3.8.6 contains an absolute path traversal vulnerability in the kernel's private plugin HTTP server, which passes a kernel plugin handler's ResponseFile.Path to gin's Context.File without validation. Attackers supplying a malicious kernel plugin can return an absolute path to read any file readable by the SiYuan process, including the API token and conf.json.

Traduire en français

Produits concernés

Scores CVSS

VersionScoreSourceVecteur
4.0 6.9 Moyenne disclosure@vulncheck.com CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
3.1 6.5 Moyenne disclosure@vulncheck.com CVSS:3.1/AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N

Faiblesses (CWE)

Références

Ailleurs