CVE-2026-120501
Publiée le 2026-11-02 · Dernière modification le 2026-11-02
Les versions 2.20.1 à 2.26.1 d'Otter Wiki sont affectées par une faille dans la manière dont le logiciel gère les intégrations de DataTable. Cet outil est utilisé pour afficher des tableaux de données dans les pages du wiki en référençant un fichier source. La faille permet à un utilisateur de spécifier un chemin de fichier absolu au lieu d'un chemin relatif, trompant ainsi le système pour lui faire lire des fichiers provenant du répertoire interne du serveur.
Un attaquant peut utiliser cela pour lire des fichiers système sensibles, comme le fichier `.git/config`, qui peut contenir des identifiants de dépôt distant. Cela compromet la confidentialité des données internes du serveur. L'attaque est facile à exécuter via le réseau et ne nécessite aucun privilège spécial ni interaction d'utilisateur, car les utilisateurs anonymes peuvent modifier les pages par défaut.
DÉTAIL DU VECTEUR CVSS
RÉFÉRENCES
Description officielle du NVD (en anglais)
An Otter Wiki 2.20.1 before 2.26.2 contains a file disclosure vulnerability in the DataTable embedding that allows attackers who can edit pages, including anonymous users under the default configuration, to read repository-internal files. Attackers can set an absolute src such as /.git/config to render the file as a table, exposing any stored remote credentials.