CVE-2026-116168 in SiYuan
Zusammenfassung
von VulDB • 25.10.2026
SiYuan vor Version 3.8.7 enthält eine Path-Traversal-Schwachstelle im MCP Asset Tool, da `validateAssetUploadPaths` auf einer unvollständigen Blacklist für sensible Pfade basiert, die `.env` und andere geheime Dateien auslässt. Authentifizierte Angreifer können durch Auslösen der MCP-Asset-Upload-Aktion solche lokalen Dateien in den Workspace kopieren und sie anschließend über HTTP via `/assets/` wieder lesen.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.