CVE-2026-116204

YesWiki w wersjach 4.5.0 przed 4.7.0 zawiera podatność SQL injection w PageManager::save(), gdzie pole date_maj_fiche żądania utworzenia wpisu Bazar jest konkatenowane bez escapowania do instrukcji INSERT. Nieuwierzytelnieni atakujący w domyślnych instalacjach mogą wstrzyknąć podzapytanie SELECT przeciwko wiki_users, aby wykraść hasła.

YesWiki od wersji 4.6.2 przed 4.7.0 zawiera podatność braku autoryzacji w ActivityPubService::syncActorPosts, która pozwala złośliwym serwerom ActivityPub manipulować lustrzanymi wpisami innych aktorów. Atakujący mogą dostarczyć zatruty outbox z aktywnościami Delete, Update lub Create podczas synchronizacji inicjowanej przez administratora.

YesWiki w wersjach od 4.2.0 przed 4.7.0 zawiera podatność na przechowywany cross-site scripting, która pozwala uwierzytelnionym użytkownikom wstrzykiwać skrypty do treści komentarzy za pomocą surowej składni HTML wakka. Atakujący mogą publikować komentarze przez endpoint /api/comments, które są renderowane bez escapowania przez filtr raw w Twig, wykonując JavaScript w sesjach administratorów i odwiedzających.

YesWiki w wersjach przed 4.7.0 zawiera nieuwierzytelnioną podatność typu server-side request forgery, która pozwala zdalnym atakującym pobierać dowolne adresy URL, dostarczając składnię wiki [[|URL]] do handlera renderowania. Atakujący mogą przekazać tę składnię w parametrze content handlera renderowania strony, aby dotrzeć do wewnętrznych hostów i portów oraz odczytać ich odpowiedzi.

YesWiki w wersjach przed 4.7.0 zawiera podatność na przechowywany cross-site scripting w akcji filtertags, która odzwierciedla wartości tokenów kontrolowanych przez atakującego bez kodowania wyjściowego. Anonimowi atakujący mogą wstrzykiwać znaczniki poprzez parametry atrybutów akcji, omijając bramkę allow_raw_html, wykonując JavaScript dla każdego przeglądającego stronę.

YesWiki przed wersją 4.7.0 zawiera podatność na przechowywany XSS, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na przesyłanie nieoczyszczonych plików SVG poprzez klasę ImageField w bazarze. Atakujący mogą przesłać złośliwy plik SVG przez pole obrazu w API wpisów, który jest serwowany jako image/svg+xml i wykonuje skrypt u użytkowników przeglądających wpis lub plik.

Brak autoryzacji w obsłudze pobierania załączników w YesWiki przed wersją 4.6.7 umożliwia nieuwierzytelnionym atakującym ominięcie ACL odczytu stron. Mogą oni pobrać poufne załączniki ze stron z ograniczonym dostępem, znając tag strony i parametr pliku.

Nieograniczone przesyłanie plików w YesWiki przed wersją 4.6.7 pozwala uwierzytelnionym administratorom zapisywać zdalne pliki do katalogu files/ dostępnego z sieci przez podgląd importu CSV Bazar. Mogą oni zaimportować CSV, którego pole pliku lub obrazu odnosi się do zdalnego pliku .php, który jest zapisywany bez sprawdzenia rozszerzenia i wykonywany jako kod serwera.

YesWiki przed wersją 4.6.7 zawiera podatność niewystarczającego wygasania sesji, ponieważ tokeny resetowania hasła nie mają znaczników czasu ważności. Atakujący, który zdobędzie nieużywany link resetowania hasła (np. z poczty, logów, kopii zapasowych lub historii przeglądarki), może ustawić nowe hasło przez checkEmailKey() i przejąć konto.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w ApiService::isAuthorized(), która pozwala nieuwierzytelnionym atakującym wywoływać trasy API przeznaczone tylko dla administratorów, gdy włączony jest publiczny tryb API. Atakujący mogą wysyłać żądania do endpointów takich jak api/ci/update_config i api/archives, aby nadpisać konfigurację oraz wyświetlić, pobrać lub usunąć archiwa kopii zapasowych.