CVE-2026-118693mediumCWE-36

CVE-2026-118693: falha de média gravidade em giuspen cherrytree

CherryTree through 1.7.2 Local File Disclosure via Embedded-File Filename Path

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar cherrytree+ Monitorar cherrytree

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

13Vexday Risk Score

Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.

ssvc Trackcvss 5.6epss 0.1%
CherryTree through 1.7.2 contains a path traversal vulnerability in CtStorageXmlHelper::_create_image_from_xml that trusts unvalidated embedded-file 'filename' attributes in XML documents. Attackers can craft a .ctd, .ctz, or .ctx document with an absolute or ~/ filename and no data, so saving embeds files like ~/.ssh/id_rsa into the document.
CVSS:4.0/AV:L/AC:L/AT:P/PR:N/UI:A/VC:H/VI:N/VA:N/SC:N/SI:N/SA:N
Produtos afetados
giuspen · cherrytree
CVEs relacionadas — giuspen cherrytree

No mesmo produto, das mais perigosas para as menos.

CVE-2026-118692HIGHCherryTree through 1.7.2 OS Command Injection via Custom Web Link ActionEPSS 0.6%