zotlit-PoC — PoC — ZotLit에서 승인되지 않은 로컬 경로의 파일을 복사하는 첨부 파일 가져오기 (GHSA-4qh7-66xv-h329, CVE-2026-87000, CVSS 5.5). | Kitploit

packages/db/src/lib/zt-path.ts:62-63 — attachmentAbsPath(), "linked-absolute" 케이스:
```
case "linked-absolute":
  return parsed.path;
```
path에 attachments: 기본 디렉터리 플레이스홀더가 없는 linkMode: 2(linked_file) 행의 경우, parsed.path는 읽을 절대 파일 시스템 경로로 그대로 반환되는 원시 DB 문자열입니다 — 허용 목록도, Zotero 데이터 디렉터리나 사용자가 승인한 위치로의 제한도 없습니다.
packages/db/src/lib/context/zt-template-attach.ts:101-106 — attachmentFilename(), "linked-absolute" 케이스:
```
case "linked-absolute":
  return basename(path.path);
```
vault 내 복사본을 만들 때 사용되는 파일 이름은 동일한 공격자 제어 경로에서 basename()을 통해 파생되므로, 목적지 파일 이름은 공격자의 영향을 받지만 경로 구분자가 없습니다(이 분기에서는 순회 안전).
apps/obsidian/src/services/note-import/note-parser.ts:403-430 — resolveEmbeddedImage()는 Zotero 문헌 노트의 임베디드 이미지 주석을 Obsidian Markdown으로 변환하는 동안 호출됩니다(ZotLit의 "Import Note" 기능의 일상적이고 기본적인 동작). 이 함수는 sourcePath = attachmentAbsPath(attachment, ...)를 해석하고 deps.resolveLink({ sourcePath, vaultName: \${attachment.key}-${filename}` })`를 호출하여 — 공격자가 선택한 모든 절대 경로의 복사본을 vault로 큐에 넣습니다.
apps/obsidian/src/services/attachment-import/service.ts:125-155 — AttachmentImportBatch.resolveLink()는 { source: sourcePath, dest: <vault attachment folder>/<key>-<filename> }를 큐에 넣으며, 이는 attachment.import 설정으로만 제한되며 그 기본값은 true입니다(apps/obsidian/src/services/settings/schema.ts:123).
apps/obsidian/src/lib/copy-attachments.ts:43-60 — copyAttachment()는 경로 검증 없이 실제 읽기+쓰기를 수행합니다: stat(source) 후 copyFile(source, dest).

연구자	Dostxodjayev Abdullox (@squeeze440)
권고	GHSA-4qh7-66xv-h329
CVSS 3.1	5.5 (Medium)
취약점	CWE-73, CWE-200

zotlit-PoC

인기

ZotLit: 보안 권고