CVE-2026-116171
Microsoft · Microsoft
פורסם:
תקציר מנהלים
חולשת CVE-2026-116171 ב-SiYuan ב-Windows, מגרסה 3.5.4 ועד לפני 3.8.7, מאפשרת למשתמש API מאומת לעקוף את בדיקת IsSensitivePath ולחשוף קובצי תצורה, לרבות API token ומפתחות TLS פרטיים, לגישה ללא אימות — בסיכון לגישה בלתי מורשית ולפגיעה בסודיות המידע. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 3.8.7 ומעלה, להגביל גישה ל-API ולבדוק חשיפה של קבצים רגישים, ובמקרה של חשיפה להחליף את הסודות שנפגעו.
תיאור טכני (מקור)
SiYuan 3.5.4 before 3.8.7 on Windows contains a sensitive-path denylist bypass in IsSensitivePath because the Windows extended-length prefix (\\?\) survives filepath.Clean and matches no forbidden prefix. Authenticated API callers can prepend the prefix to localPath in /api/import/importStdMd to copy workspace conf files, including the API token and TLS private keys, into assets served to unauthenticated clients.
מקורות והנחיות
חולשות נוספות של Microsoft
Microsoft · Microsoft
חולשת CVE-2026-115908 בספריית zip ל-Rust בגרסאות 7.2.0 ועד לפני 9.0.0 מאפשרת לקובץ ZIP זדוני לעקוף את גבולות תיקיית החילוץ באמצעות symlinks וליצור או לדרוס קבצים מחוצה לה בהרשאות התהליך המחלץ, תוך סיכון לשלמות הנתונים ולזמינות השירותים. מומלץ לשדרג לגרסה 9.0.0 ומעלה, ועד אז להימנע מחילוץ ZIP ממקורות לא מהימנים ולהפעיל תהליכי חילוץ בהרשאות מינימליות ובסביבה מבודדת; לא ידוע על ניצול החולשה בפועל.
Microsoft · Microsoft
חולשת Path Traversal ב-Syncplify Server! בגרסאות הקודמות ל-8.8.0 מאפשרת לתוקף שהצליח להציב symlink או directory junction בתיקיית הבית של משתמש לחרוג מגבולות ה-virtual filesystem ולגשת לקבצים מוגבלים, תוך סיכון לחשיפת מידע עסקי רגיש. לא ידוע על ניצול בפועל; מומלץ לשדרג לגרסה 8.8.0 ומעלה, להגביל יצירת קישורים אלה ולבדוק קישורים קיימים המפנים מחוץ לתיקיות המורשות.
Microsoft · Microsoft
CVE-2026-97785 היא חולשת Improper Authentication ב-AAD App Proxy של Microsoft, בדירוג CVSS 10, המאפשרת לתוקף ללא הרשאה לבצע העלאת הרשאות דרך הרשת ועלולה להוביל לגישה בלתי מורשית ליישומים ולמידע עסקי; לא ידוע על ניצול בפועל. מומלץ למפות שימוש וחשיפה לשירות, לבדוק בדחיפות הנחיות ועדכוני אבטחה של Microsoft וליישמם ככל שזמינים, ולנטר פעילות אימות ושינויי הרשאות חריגים.
Microsoft · Microsoft
CVE-2026-83938 היא חולשת היעדר אימות בפונקציה קריטית ב-Azure Kubernetes Configuration Service, בדירוג CVSS 10, המאפשרת לתוקף לא מורשה להעלות הרשאות דרך הרשת ולסכן את סודיות המידע, שלמותו וזמינות השירותים. אף שלא ידוע על ניצול בפועל, מומלץ לבדוק מיד את החשיפה בהתאם להנחיות Microsoft, ליישם תיקונים או צעדי מיתון זמינים ולנטר שינויי הרשאות ותצורה חריגים.