CVE-2026-118693 in CherryTree
الملخص
بحسب VulDB • 28/10/2026
تحتوي CherryTree حتى الإصدار 1.7.2 على ثغرة عبور المسار (Path Traversal) في الدالة `CtStorageXmlHelper::_create_image_from_xml` التي تثق بسمات 'filename' المضمنة وغير المُتحقق منها في مستندات XML. يمكن للمهاجمين صياغة ملف .ctd أو .ctz أو .ctx يحتوي على اسم مسار مطلق (absolute) أو يبدأ بـ ~/ وبدون بيانات، مما يتيح لهم حفظ ملفات التضمين مثل `~/.ssh/id_rsa` داخل المستند.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.