CVE-2026-118693
Publiée le 2026-10-28 · Dernière modification le 2026-10-29
Les versions de CherryTree jusqu'à la 1.7.2 incluse sont concernées. Ce logiciel est une application de prise de notes hiérarchique utilisée pour organiser des informations selon une structure en arbre. La faille provient du fait que l'application ne valide pas l'attribut « filename » au sein des documents XML, ce qui permet une attaque par traversée de répertoire (path traversal).
Un attaquant peut concevoir un fichier de note malveillant qui, une fois ouvert, trompe le logiciel pour lui faire lire des fichiers sensibles de votre système local, tels que des clés privées SSH. Cela compromet la confidentialité de vos données privées, mais ne permet pas à l'attaquant de modifier vos fichiers ou de faire planter le système. Pour réussir, l'attaquant doit vous convaincre d'ouvrir manuellement un document spécialement conçu sur votre machine.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
CherryTree through 1.7.2 contains a path traversal vulnerability in CtStorageXmlHelper::_create_image_from_xml that trusts unvalidated embedded-file 'filename' attributes in XML documents. Attackers can craft a .ctd, .ctz, or .ctx document with an absolute or ~/ filename and no data, so saving embeds files like ~/.ssh/id_rsa into the document.