CVE-2026-116168

Mở trang đầy đủ

CVSS 6.2 MEDIUM Lộ dữ liệu

SiYuan before v3.8.7 Path Traversal Local File Read via MCP Asset Tool

Công bố
Cập nhật
Lần đầu thấy
Nguồn
NVD, CVE.org

Mô tả

SiYuan before 3.8.7 contains a path traversal vulnerability in the MCP asset tool because validateAssetUploadPaths relies on an incomplete sensitive-path blacklist that omits .env and other secret files. Authenticated attackers driving the MCP asset upload action can copy such local files into the workspace and read them back via /assets/ over HTTP.

Điểm và phân loại

CVSS
6.2 MEDIUM v3.1
Nguồn điểm
NVD
Mức độ (theo nguồn)
MEDIUM
EPSS
—
CWE
CWE-22

Vector CVSS:3.1/AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Ảnh hưởng

Sản phẩm

  • siyuan-note siyuan

Vì sao bị lọc

  • CVSS 6.2 < 8.0 và không thuộc CISA KEV

Loại tác động

Lộ dữ liệu
CWE-22; từ khoá "path traversal"

Dữ liệu riêng của nguồn

CVE.org · Đơn vị cấp mã
VulnCheck

Tham khảo