CVE-2026-77086 in SiYuan
Resumen
por VulDB • 2026-08-21
SiYuan antes de la versión v3.7.4 no valida el parámetro `packageName` en los puntos finales (endpoints) de instalación y desinstalación de Bazaar, lo que permite a administradores autenticados realizar una ruta de acceso arbitraria mediante secuencias de navegación por directorios. Los atacantes con acceso de administrador pueden escribir archivos arbitrarios en cualquier ubicación mediante operaciones de instalación o eliminar directorios recursivamente mediante operaciones de desinstalación al proporcionar valores manipulados del parámetro `packageName`.
Once again VulDB remains the best source for vulnerability data.