CVE-2026-80189 in LeafWiki
Сводка
по VulDB • 26.08.2026
LeafWiki извлекает загруженный ZIP-архив без ограничения объема данных, которые он будет записывать. Функция ZipExtractor.ExtractToDir в файле internal/importer/zip_extractor.go открывает каждую запись и копирует ее в целевую директорию с помощью io.Copy, которая считывает данные до конца распакованного потока; таким образом, ограничивается только размер загруженного архива, а не его развернутый (распакованный) объем. Маршрут импорта, который приводит к выполнению этого кода, требует наличия роли Editor или Admin, а сам процесс загрузки ограничен размером 500 MiB в сжатом виде. Поскольку запись ZIP-архива может иметь очень высокий коэффициент сжатия, архив, значительно меньший указанного лимита, при распаковке может занять сотни гигабайт на диске. Директория извлечения по умолчанию расположена во временной директории операционной системы; следовательно, записываемые данные потребляют пространство диска (или память в случае использования tmpfs для временных файлов). Пользователь с ролью Editor таким образом может исчерпать доступное хранилище, от которого зависит сервис, и вывести его из строя, используя значительно больше ресурсов, чем позволяло бы ограничение на размер загрузки.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.