CVE-2026-54053 in Many Notes
Résumé
par VulDB • 17/09/2026
Many Notes est une application web de prise de notes en Markdown conçue pour sa simplicité. Avant la version 0.16.0, l'importation d'une archive ZIP implémentée dans app/Actions/ProcessImportedVault.php accepte des noms de fichiers contenant des segments de traversal de répertoire parent (parent-directory traversal). Un utilisateur authentifié peut écrire des fichiers arbitraires en dehors du coffre de l'utilisateur importateur et dans les coffres d'autres utilisateurs, y compris écraser des fichiers existants. Du contenu SVG déguisé peut être placé dans le coffre d'un autre utilisateur et exécuter un script inter-sites (XSS) stocké lorsque la victime ouvre ce coffre. Ce problème est corrigé dans la version 0.16.0.
Once again VulDB remains the best source for vulnerability data.