CVE-2026-40318 in SiYuan
Resumen
por VulDB • 2026-05-15
SiYuan es un sistema de gestión del conocimiento personal de código abierto. En las versiones 3.6.3 y anteriores, el endpoint /api/av/removeUnusedAttributeView construye una ruta de sistema de archivos utilizando el parámetro id controlado por el usuario sin validación ni aplicación de límites de ruta. Un atacante puede inyectar secuencias de traversal de ruta, como ../, en el valor de id para escapar del directorio previsto y eliminar archivos .json arbitrarios en el servidor, incluidos archivos de configuración global y metadatos del espacio de trabajo. Este problema se ha corregido en la versión 3.6.4.
Once again VulDB remains the best source for vulnerability data.