CVE-2026-105224

Brak autoryzacji w obsłudze pobierania załączników w YesWiki przed wersją 4.6.7 umożliwia nieuwierzytelnionym atakującym ominięcie ACL odczytu stron. Mogą oni pobrać poufne załączniki ze stron z ograniczonym dostępem, znając tag strony i parametr pliku.

Nieograniczone przesyłanie plików w YesWiki przed wersją 4.6.7 pozwala uwierzytelnionym administratorom zapisywać zdalne pliki do katalogu files/ dostępnego z sieci przez podgląd importu CSV Bazar. Mogą oni zaimportować CSV, którego pole pliku lub obrazu odnosi się do zdalnego pliku .php, który jest zapisywany bez sprawdzenia rozszerzenia i wykonywany jako kod serwera.

YesWiki przed wersją 4.6.7 zawiera podatność niewystarczającego wygasania sesji, ponieważ tokeny resetowania hasła nie mają znaczników czasu ważności. Atakujący, który zdobędzie nieużywany link resetowania hasła (np. z poczty, logów, kopii zapasowych lub historii przeglądarki), może ustawić nowe hasło przez checkEmailKey() i przejąć konto.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w ApiService::isAuthorized(), która pozwala nieuwierzytelnionym atakującym wywoływać trasy API przeznaczone tylko dla administratorów, gdy włączony jest publiczny tryb API. Atakujący mogą wysyłać żądania do endpointów takich jak api/ci/update_config i api/archives, aby nadpisać konfigurację oraz wyświetlić, pobrać lub usunąć archiwa kopii zapasowych.

YesWiki przed wersją 4.6.7 zawiera podatność przechowywanego XSS w formatters/wakka.php. Użytkownicy mogący edytować strony lub komentować mogą wstrzyknąć obsługę zdarzeń, umieszczając cudzysłowy w adresach URL obrazów markdown, co prowadzi do wykonania JavaScriptu w przeglądarkach przeglądających, w tym administratorów.

YesWiki w wersji przed 4.6.7 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wywoływać po stronie serwera żądania GET poprzez podanie niezwalidowanego adresu URL aktora w akcji synchronizacji Bazar abonnements. Atakujący mogą kierować żądania do hostów wewnętrznych lub endpointów metadanych chmury oraz łańcuchowo wykorzystywać kontrolowane przez siebie linki outbox first/next, a pobrane odpowiedzi są zapisywane jako czytelne wpisy Bazar.

YesWiki w wersji przed 4.6.7 zawiera podatność typu server-side request forgery (SSRF), która pozwala nieuwierzytelnionym atakującym wywoływać żądania po stronie serwera poprzez wysyłanie podpisanych aktywności Follow do publicznej trasy skrzynki odbiorczej aktora formularzy. Atakujący podpisują żądania własnym keyId, podając w treści wewnętrzne adresy URL aktorów, docierając do hostów wewnętrznych lub metadanych chmury poprzez ślepe żądania GET i POST.

YesWiki w wersji przed 4.6.7 zawiera podatność SQL injection w akcji Bazar nuagetag, która konkatenuje nieescapowany atrybut tags do surowej klauzuli SQL IN. Atakujący z prawem zapisu do strony (domyślnie nieuwierzytelnieni) mogą osadzić tag nuagetag kończący się backslashem, aby zaburzyć parzystość cudzysłowów i wstrzyknąć podzapytanie UNION, eksfiltrując hashe haseł i dowolne dane z tabel.

YesWiki w wersji przed 4.6.7 zawiera podatność blind SQL injection w akcji {{newtextsearch}}, ponieważ identyfikatory opcji listy Bazar są konkatenowane do klauzul SQL REGEXP/LIKE w actions/newtextsearch.php bez escapowania. Anonimowi atakujący mogą umieścić złośliwy identyfikator opcji w anonimowo edytowalnej liście Bazar i wykorzystać żądania wyszukiwania jako wyrocznię boolowską do odczytu dowolnych danych z bazy, w tym hashy haseł administratorów z tabeli yeswiki_users.

YesWiki przed wersją 4.6.7 zawiera podatność SSRF w WebfingerService, która pozwala nieuwierzytelnionym atakującym wywołać żądania HTTPS do wewnętrznych hostów. Atakujący może wysłać spreparowany actor_handle z numerycznym hostem i portem do widoku abonnements, aby sondować wewnętrzne usługi HTTPS i porty.