प्लेटफ़ॉर्म
go
घटक
github.com/siyuan-note/siyuan/kernel
में ठीक किया गया
3.1.17
0.0.1
SiYuan Kernel में एक पथ पारगमन भेद्यता पाई गई है, जो हमलावरों को मनमाने ढंग से फ़ाइलें पढ़ने की अनुमति देती है। यह भेद्यता /api/export/exportResources एंडपॉइंट के माध्यम से मौजूद है। प्रभावित संस्करण SiYuan Kernel के 3.1.16 से पहले के सभी संस्करण हैं। इस समस्या को हल करने के लिए, SiYuan Kernel को संस्करण 3.1.16 में अपडेट करने की अनुशंसा की जाती है।
यह भेद्यता हमलावरों को SiYuan एप्लिकेशन के फ़ाइल सिस्टम तक अनधिकृत पहुंच प्राप्त करने की अनुमति देती है। हमलावर संवेदनशील डेटा, जैसे कि उपयोगकर्ता पासवर्ड, कॉन्फ़िगरेशन फ़ाइलें, या अन्य गोपनीय जानकारी पढ़ सकते हैं। इसके अतिरिक्त, हमलावर सिस्टम पर अन्य दुर्भावनापूर्ण कोड निष्पादित करने के लिए इस भेद्यता का उपयोग कर सकते हैं, जिससे सिस्टम की सुरक्षा से समझौता हो सकता है। इस भेद्यता का उपयोग करके, हमलावर डेटा चोरी, सिस्टम नियंत्रण और अन्य हानिकारक गतिविधियों को अंजाम दे सकते हैं।
यह भेद्यता सार्वजनिक रूप से ज्ञात है और इसका शोषण किया जा सकता है। सार्वजनिक रूप से उपलब्ध प्रमाण-अवधारणा (PoC) मौजूद हो सकते हैं, जो हमलावरों के लिए इस भेद्यता का फायदा उठाना आसान बनाते हैं। CISA ने अभी तक इस भेद्यता को KEV में शामिल नहीं किया है, लेकिन इसकी गंभीरता को देखते हुए, भविष्य में इसे शामिल किया जा सकता है। इस भेद्यता का शोषण 2024-12-12 को सार्वजनिक किया गया था।
Users of SiYuan who are running versions prior to 3.1.16 are at risk. This includes individuals using SiYuan for personal note-taking, as well as organizations deploying SiYuan for team collaboration or knowledge management. Shared hosting environments where SiYuan is installed are particularly vulnerable, as a compromise of one user's instance could potentially expose files belonging to other users on the same server.
• linux / server: Monitor access logs for requests to /api/export/exportResources containing path traversal sequences (e.g., ../, ../../).
grep '/api/export/exportResources.*../' /var/log/nginx/access.log• generic web: Use curl to test the endpoint with various path traversal payloads.
curl 'http://<siyuan_server>/api/export/exportResources?file=../../../../etc/passwd'• go: Examine the SiYuan Kernel source code for the /api/export/exportResources function and related file handling logic to identify potential vulnerabilities or insecure coding practices.
disclosure
एक्सप्लॉइट स्थिति
EPSS
0.65% (71% शतमक)
CISA SSVC
CVSS वेक्टर
इस भेद्यता को कम करने के लिए, SiYuan Kernel को संस्करण 3.1.16 में तुरंत अपडेट करें। यदि अपडेट करना संभव नहीं है, तो /api/export/exportResources एंडपॉइंट तक पहुंच को सीमित करने के लिए एक वेब एप्लिकेशन फ़ायरवॉल (WAF) या प्रॉक्सी का उपयोग करें। इसके अतिरिक्त, फ़ाइल सिस्टम अनुमतियों को सख्त करें ताकि केवल अधिकृत उपयोगकर्ताओं को ही संवेदनशील फ़ाइलों तक पहुंच प्राप्त हो। SiYuan के नवीनतम सुरक्षा अपडेट के लिए नियमित रूप से जांच करें और उन्हें लागू करें।
Actualice SiYuan a la versión 3.1.16 o superior. Esta versión contiene una corrección para la vulnerabilidad de lectura arbitraria de archivos y path traversal. La actualización evitará que atacantes accedan a archivos sensibles en su sistema.
भेद्यता विश्लेषण और गंभीर अलर्ट सीधे आपके ईमेल में।
CVE-2024-55658 SiYuan Kernel में एक पथ पारगमन भेद्यता है जो हमलावरों को मनमाने ढंग से फ़ाइलें पढ़ने की अनुमति देती है। यह /api/export/exportResources एंडपॉइंट के माध्यम से मौजूद है।
यदि आप SiYuan Kernel के संस्करण 3.1.16 से पहले किसी भी संस्करण का उपयोग कर रहे हैं, तो आप इस भेद्यता से प्रभावित हैं।
SiYuan Kernel को संस्करण 3.1.16 में अपडेट करें। यदि अपडेट करना संभव नहीं है, तो WAF का उपयोग करके /api/export/exportResources एंडपॉइंट तक पहुंच को सीमित करें।
यह भेद्यता सार्वजनिक रूप से ज्ञात है और इसका शोषण किया जा सकता है। सार्वजनिक PoC मौजूद हो सकते हैं।
SiYuan की आधिकारिक वेबसाइट या GitHub रिपॉजिटरी पर सुरक्षा सलाहकार की जांच करें।
अपनी डिपेंडेंसी फ़ाइल अपलोड करें और तुरंत जानें कि यह CVE और अन्य आपको प्रभावित करती हैं या नहीं।
अपनी go.mod फ़ाइल अपलोड करें और तुरंत जानें कि आप प्रभावित हैं या नहीं।