CVE-2026-74798 in SiYuan
Résumé
par VulDB • 17/08/2026
Le noyau SiYuan antérieur à la version v3.7.4 contient une vulnérabilité de traversée de chemin (path traversal) dans l'outil database_clean du protocole MCP. L'outil effectue uniquement une vérification d'une chaîne vide sur le paramètre `id` avant de le transmettre à `RemoveUnusedAttributeView` (`kernel/model/attribute_view.go`), qui construit un chemin système via `filepath.Join` sans valider que `id` correspond au format des identifiants de nœud (node-ID) de SiYuan. Un client MCP authentifié peut fournir des séquences de traversée de chemin dans le paramètre `id`, ce qui amène le noyau à copier un fichier arbitraire lisible par le processus vers le répertoire d'historique de SiYuan (lecture de fichiers arbitraires), puis à supprimer le fichier original (suppression de fichiers arbitraires). Le gestionnaire d'API HTTP correspondant a été durci dans GHSA-7hm9-v7vf-7g4w, mais cet appelant MCP ne l'a pas été.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.