CVE-2026-104466

YesWiki w wersjach przed 4.5.3 zawiera wiele podatności typu reflected cross-site scripting (XSS), które pozwalają zdalnym atakującym wstrzykiwać JavaScript poprzez nieoczyszczone parametry, takie jak incomingurl, id, file, tags i template. Atakujący mogą nakłonić użytkowników do otwarcia spreparowanych linków w celu przejęcia sesji i wykonania uwierzytelnionych żądań.

Brak autoryzacji w obsłudze pobierania załączników w YesWiki przed wersją 4.6.7 umożliwia nieuwierzytelnionym atakującym ominięcie ACL odczytu stron. Mogą oni pobrać poufne załączniki ze stron z ograniczonym dostępem, znając tag strony i parametr pliku.

Nieograniczone przesyłanie plików w YesWiki przed wersją 4.6.7 pozwala uwierzytelnionym administratorom zapisywać zdalne pliki do katalogu files/ dostępnego z sieci przez podgląd importu CSV Bazar. Mogą oni zaimportować CSV, którego pole pliku lub obrazu odnosi się do zdalnego pliku .php, który jest zapisywany bez sprawdzenia rozszerzenia i wykonywany jako kod serwera.

YesWiki w wersjach przed 4.6.7 zawiera podatność typu session fixation, która pozwala atakującym przejąć uwierzytelnione sesje, ponieważ logowanie nie regeneruje identyfikatora sesji PHP. Atakujący, który ustawi lub pozna ciasteczko sesji YesWiki-* ofiary przed uwierzytelnieniem, może użyć go po zalogowaniu, aby uzyskać dostęp do prywatnych treści i wykonać działania z uprawnieniami ofiary.

YesWiki przed wersją 4.6.7 zawiera podatność niewystarczającego wygasania sesji, ponieważ tokeny resetowania hasła nie mają znaczników czasu ważności. Atakujący, który zdobędzie nieużywany link resetowania hasła (np. z poczty, logów, kopii zapasowych lub historii przeglądarki), może ustawić nowe hasło przez checkEmailKey() i przejąć konto.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w ApiService::isAuthorized(), która pozwala nieuwierzytelnionym atakującym wywoływać trasy API przeznaczone tylko dla administratorów, gdy włączony jest publiczny tryb API. Atakujący mogą wysyłać żądania do endpointów takich jak api/ci/update_config i api/archives, aby nadpisać konfigurację oraz wyświetlić, pobrać lub usunąć archiwa kopii zapasowych.

YesWiki przed wersją 4.6.7 zawiera podatność odbitego XSS, która pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty przez parametr field w handlerze mail. Atakujący może stworzyć link, którego wartość field wychodzi poza atrybut akcji ajax-mail-form, wykonując JavaScript w przeglądarce ofiary.

YesWiki w wersji przed 4.6.7 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wywoływać po stronie serwera żądania GET poprzez podanie niezwalidowanego adresu URL aktora w akcji synchronizacji Bazar abonnements. Atakujący mogą kierować żądania do hostów wewnętrznych lub endpointów metadanych chmury oraz łańcuchowo wykorzystywać kontrolowane przez siebie linki outbox first/next, a pobrane odpowiedzi są zapisywane jako czytelne wpisy Bazar.

YesWiki w wersji przed 4.6.7 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wywoływać żądania po stronie serwera poprzez wysyłanie podpisanych aktywności Follow do publicznej trasy skrzynki odbiorczej aktora formularzy. Atakujący podpisują żądania własnym keyId, podając w treści wewnętrzne adresy URL aktorów, docierając do hostów wewnętrznych lub metadanych chmury poprzez ślepe żądania GET i POST.

YesWiki w wersji przed 4.6.7 zawiera podatność SQL injection w akcji Bazar nuagetag, która konkatenuje nieescapowany atrybut tags do surowej klauzuli SQL IN. Atakujący z prawem zapisu do strony (domyślnie nieuwierzytelnieni) mogą osadzić tag nuagetag kończący się backslashem, aby zaburzyć parzystość cudzysłowów i wstrzyknąć podzapytanie UNION, eksfiltrując hashe haseł i dowolne dane z tabel.