SiYuan - это система управления личными знаниями с открытым исходным кодом. В версиях 3.6.3 и предшествующих, конечная точка /api/av/remove…

SiYuan - это система управления личными знаниями с открытым исходным кодом. В версиях 3.6.3 и предшествующих, конечная точка /api/av/removeUnusedAttributeView создает путь файловой системы, используя параметр id, управляемый пользователем, без проверки или соблюдения границ пути. Агитатор может вводить последовательности прохождения пути, такие как ../, в значение id, чтобы избежать предполагаемого каталога и удалить произвольные файлы .json на сервере, включая файлы глобальной конфигурации и метаданные рабочего пространства. Эта проблема исправлена в версии 3.6.4.