CVE-2026-32938 in SiYuan
요약
\~에 의해 VulDB • 2026. 05. 10.
SiYuan은 개인 지식 관리 시스템입니다. 버전 3.6.0 이하에서 데스크톱의 /api/lute/html2BlockDOM은 붙여넣기된 HTML 내의 file:// 링크가 가리키는 로컬 파일을 민감 경로 목록에 대해 검증하지 않고 작업 공간의 assets 디렉토리로 복사합니다. 인증만 필요로 하는 GET /assets/*path와 결합하면, 게시 서비스 방문자가 데스크톱 커널로 하여금 읽을 수 있는 모든 민감 파일을 복사한 후 GET을 통해 읽도록 유도할 수 있으며, 이로 인해 민감 파일이 유출될 수 있습니다. 이 문제는 버전 3.6.1에서 수정되었습니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.