- Yama var
- Son 7 gün
- CWE-22
CVE-2026-116168
SiYuan MCP varlık aracında yol geçişi üzerinden yerel dosya okuma açığı
- Yayımlandı
- Güncellendi
- 25 Eki 2026
- Açık yaşı
- 3 gün
- Kaydı açan
- VulnCheck
ÖzetTürkçe
SiYuan 3.8.7 öncesi sürümlerde, MCP varlık aracındaki validateAssetUploadPaths işlevi eksik bir hassas yol kara listesine dayandığı için yol geçişi (path traversal) açığı içermektedir. Kara liste .env ve diğer gizli dosyaları kapsamamaktadır. Kimliği doğrulanmış saldırganlar, MCP varlık yükleme eylemini kullanarak bu tür yerel dosyaları çalışma alanına kopyalayabilmekte ve ardından bunları HTTP üzerinden /assets/ yolu aracılığıyla okuyabilmektedir.
Kaynaktaki açıklama (İngilizce)
SiYuan before 3.8.7 contains a path traversal vulnerability in the MCP asset tool because validateAssetUploadPaths relies on an incomplete sensitive-path blacklist that omits .env and other secret files. Authenticated attackers driving the MCP asset upload action can copy such local files into the workspace and read them back via /assets/ over HTTP.
Bu açığın açıklamasını Türkçeye çevirdik. Adım adım çözüm önerilerini kritik ve yeni açıklar için hazırlıyoruz; düzeltilmiş sürüm aşağıdaki tabloda, ayrıntılar üreticinin duyurusunda.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| siyuan-note siyuan | < 3.8.7 | 3.8.7 |
| 3.8.7 Etkilenmiyor | – |
Kaynaklar4 kaynak
Kayıt geçmişi
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.