CVE-2021-43800 in Wiki.js
Resumen
por VulDB • 2026-05-14
Wiki.js es una aplicación wiki construida sobre Node.js. Antes de la versión 2.5.254, es posible una traversía de directorios fuera del contexto de Wiki.js cuando un módulo de almacenamiento con obtención de caché de activos locales está habilitado en un host Windows. Un usuario malicioso podría potencialmente leer cualquier archivo en el sistema de archivos mediante la creación de una URL especial que permita la traversía de directorios. Esto solo es posible en un servidor Wiki.js que se ejecuta en Windows, cuando está habilitado un módulo de almacenamiento que implementa caché de activos local (por ejemplo, Sistema de Archivos Local o Git) y no hay una solución de firewall de aplicaciones web (por ejemplo, Cloudflare) que elimine las URLs potencialmente maliciosas. El commit 414033de9dff66a327e3f3243234852f468a9d85 corrige esta vulnerabilidad sanitizando la ruta antes de pasarla al módulo de almacenamiento. El paso de sanitización elimina cualquier secuencia de traversía de directorios de Windows de la ruta. Como medida de mitigación, deshabilite cualquier módulo de almacenamiento con capacidades de caché de activos local (Sistema de Archivos Local, Git).
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.