CVE-2026-118693 in CherryTree
要約
〜によって VulDB • 2026年10月28日
CherryTree 1.7.2 までは、CtStorageXmlHelper::_create_image_from_xml にパストラバーサルの脆弱性が存在し、XML ドキュメント内の検証されていない埋め込みファイルの 'filename' 属性を信頼しています。攻撃者は絶対パスまたは ~/ を持つ filename とデータなしで .ctd、.ctz、または .ctx ドキュメントを作成することで、~/.ssh/id_rsa などの埋め込みファイルをドキュメントに保存することができます。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.