CVE-2026-104463

YesWiki w wersjach przed 4.5.3 zawiera wiele podatności typu reflected cross-site scripting (XSS), które pozwalają zdalnym atakującym wstrzykiwać JavaScript poprzez nieoczyszczone parametry, takie jak incomingurl, id, file, tags i template. Atakujący mogą nakłonić użytkowników do otwarcia spreparowanych linków w celu przejęcia sesji i wykonania uwierzytelnionych żądań.

Brak autoryzacji w obsłudze pobierania załączników w YesWiki przed wersją 4.6.7 umożliwia nieuwierzytelnionym atakującym ominięcie ACL odczytu stron. Mogą oni pobrać poufne załączniki ze stron z ograniczonym dostępem, znając tag strony i parametr pliku.

Nieograniczone przesyłanie plików w YesWiki przed wersją 4.6.7 pozwala uwierzytelnionym administratorom zapisywać zdalne pliki do katalogu files/ dostępnego z sieci przez podgląd importu CSV Bazar. Mogą oni zaimportować CSV, którego pole pliku lub obrazu odnosi się do zdalnego pliku .php, który jest zapisywany bez sprawdzenia rozszerzenia i wykonywany jako kod serwera.

YesWiki w wersjach przed 4.6.7 zawiera podatność typu session fixation, która pozwala atakującym przejąć uwierzytelnione sesje, ponieważ logowanie nie regeneruje identyfikatora sesji PHP. Atakujący, który ustawi lub pozna ciasteczko sesji YesWiki-* ofiary przed uwierzytelnieniem, może użyć go po zalogowaniu, aby uzyskać dostęp do prywatnych treści i wykonać działania z uprawnieniami ofiary.

YesWiki przed wersją 4.6.7 zawiera podatność niewystarczającego wygasania sesji, ponieważ tokeny resetowania hasła nie mają znaczników czasu ważności. Atakujący, który zdobędzie nieużywany link resetowania hasła (np. z poczty, logów, kopii zapasowych lub historii przeglądarki), może ustawić nowe hasło przez checkEmailKey() i przejąć konto.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w ApiService::isAuthorized(), która pozwala nieuwierzytelnionym atakującym wywoływać trasy API przeznaczone tylko dla administratorów, gdy włączony jest publiczny tryb API. Atakujący mogą wysyłać żądania do endpointów takich jak api/ci/update_config i api/archives, aby nadpisać konfigurację oraz wyświetlić, pobrać lub usunąć archiwa kopii zapasowych.

YesWiki przed wersją 4.6.7 zawiera podatność przechowywanego XSS w formatters/wakka.php. Użytkownicy mogący edytować strony lub komentować mogą wstrzyknąć obsługę zdarzeń, umieszczając cudzysłowy w adresach URL obrazów markdown, co prowadzi do wykonania JavaScriptu w przeglądarkach przeglądających, w tym administratorów.

YesWiki przed wersją 4.6.7 zawiera podatność odbitego XSS, która pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty przez parametr field w handlerze mail. Atakujący może stworzyć link, którego wartość field wychodzi poza atrybut akcji ajax-mail-form, wykonując JavaScript w przeglądarce ofiary.

YesWiki w wersji przed 4.6.7 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wywoływać po stronie serwera żądania GET poprzez podanie niezwalidowanego adresu URL aktora w akcji synchronizacji Bazar abonnements. Atakujący mogą kierować żądania do hostów wewnętrznych lub endpointów metadanych chmury oraz łańcuchowo wykorzystywać kontrolowane przez siebie linki outbox first/next, a pobrane odpowiedzi są zapisywane jako czytelne wpisy Bazar.

YesWiki w wersji przed 4.6.7 zawiera podatność SQL injection w akcji Bazar nuagetag, która konkatenuje nieescapowany atrybut tags do surowej klauzuli SQL IN. Atakujący z prawem zapisu do strony (domyślnie nieuwierzytelnieni) mogą osadzić tag nuagetag kończący się backslashem, aby zaburzyć parzystość cudzysłowów i wstrzyknąć podzapytanie UNION, eksfiltrując hashe haseł i dowolne dane z tabel.