9.2 Critique

CVE-2026-115353 Mistune before 3.3.0 Path Traversal via include Directive

Description

Mistune before 3.3.0 contains a path traversal vulnerability in the RST include directive that allows attackers to read arbitrary files by supplying relative or absolute paths. Attackers can submit markdown containing include directives referencing ../ sequences or absolute paths to embed sensitive files like credentials or environment data in rendered HTML.

Détail CVSS 4.0

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:N/VA:N/SC:H/SI:N/SA:N

Exploitable à distance par le réseau, sans compte et sans action d’un utilisateur ; un attaquant peut compromettre gravement la confidentialité, l’intégrité ou la disponibilité.

Vecteur d’attaque: Réseau
Complexité: Faible
Prérequis d’attaque: Aucun
Privilèges requis: Aucun
Interaction: Aucune
Confidentialité: Élevé
Intégrité: Aucun
Disponibilité: Aucun
Confidentialité des autres systèmes: Élevé
Intégrité des autres systèmes: Aucun
Disponibilité des autres systèmes: Aucun

Produits et versions touchés

Produit	Versions touchées	Corrigé en
mistune 3.3	premières → < 3.3.0	3.3.0

Références

GitHub Security Advisory (GHSA-9jjx-3hq3-hx4j) github.com
VulnCheck Advisory: Mistune before 3.3.0 Path Traversal via include Directive www.vulncheck.com

Chronologie

Publiée 22 octobre 2026
Dernière modification 4 novembre 2026

Les 28 CVE de mistune →

CVE-2026-121437 Mistune from 3.3.0 before 3.3.4 contains a denial of service vulnerability that allows remote attackers to exhaust CPU… 8.7 Élevée CVE-2026-121438 Mistune before 3.3.3 contains a denial of service vulnerability in InlineParser.parse_link that allows attackers to… 6.9 Moyenne CVE-2026-115355 Mistune before 3.3.0 contains a path traversal vulnerability in the Include directive that allows attackers to read… 8.7 Élevée CVE-2026-115354 Mistune before 3.3.0 contains a path traversal vulnerability in the opt-in Include directive that allows attackers to… 7.1 Élevée

Suivre cette CVE