CVE-2026-116211

YesWiki od wersji 4.6.2 przed 4.7.0 zawiera podatność braku autoryzacji w ActivityPubService::syncActorPosts, która pozwala złośliwym serwerom ActivityPub manipulować lustrzanymi wpisami innych aktorów. Atakujący mogą dostarczyć zatruty outbox z aktywnościami Delete, Update lub Create podczas synchronizacji inicjowanej przez administratora.

YesWiki w wersjach od 4.2.0 przed 4.7.0 zawiera podatność na przechowywany cross-site scripting, która pozwala uwierzytelnionym użytkownikom wstrzykiwać skrypty do treści komentarzy za pomocą surowej składni HTML wakka. Atakujący mogą publikować komentarze przez endpoint /api/comments, które są renderowane bez escapowania przez filtr raw w Twig, wykonując JavaScript w sesjach administratorów i odwiedzających.

YesWiki w wersjach przed 4.7.0 zawiera nieuwierzytelnioną podatność typu server-side request forgery, która pozwala zdalnym atakującym pobierać dowolne adresy URL, dostarczając składnię wiki [[|URL]] do handlera renderowania. Atakujący mogą przekazać tę składnię w parametrze content handlera renderowania strony, aby dotrzeć do wewnętrznych hostów i portów oraz odczytać ich odpowiedzi.

YesWiki przed wersją 4.7.0 zawiera podatność cross-site request forgery w akcji despam (tools/security/actions/despam.php), która pozwala nieuwierzytelnionym atakującym usuwać lub przywracać strony w sesji administratora. Atakujący mogą umieścić na stronie wiki automatycznie wysyłający się formularz HTML, który po wyświetleniu przez administratora usuwa PagePrincipale, strony konfiguracyjne lub nadpisuje treść.

YesWiki w wersjach przed 4.7.0 zawiera podatność na przechowywany cross-site scripting w akcji filtertags, która odzwierciedla wartości tokenów kontrolowanych przez atakującego bez kodowania wyjściowego. Anonimowi atakujący mogą wstrzykiwać znaczniki poprzez parametry atrybutów akcji, omijając bramkę allow_raw_html, wykonując JavaScript dla każdego przeglądającego stronę.

YesWiki przed wersją 4.7.0 zawiera podatność na przechowywany XSS, która pozwala uwierzytelnionym użytkownikom z niskimi uprawnieniami na przesyłanie nieoczyszczonych plików SVG poprzez klasę ImageField w bazarze. Atakujący mogą przesłać złośliwy plik SVG przez pole obrazu w API wpisów, który jest serwowany jako image/svg+xml i wykonuje skrypt u użytkowników przeglądających wpis lub plik.

Brak autoryzacji w obsłudze pobierania załączników w YesWiki przed wersją 4.6.7 umożliwia nieuwierzytelnionym atakującym ominięcie ACL odczytu stron. Mogą oni pobrać poufne załączniki ze stron z ograniczonym dostępem, znając tag strony i parametr pliku.

Nieograniczone przesyłanie plików w YesWiki przed wersją 4.6.7 pozwala uwierzytelnionym administratorom zapisywać zdalne pliki do katalogu files/ dostępnego z sieci przez podgląd importu CSV Bazar. Mogą oni zaimportować CSV, którego pole pliku lub obrazu odnosi się do zdalnego pliku .php, który jest zapisywany bez sprawdzenia rozszerzenia i wykonywany jako kod serwera.

YesWiki przed wersją 4.6.7 zawiera podatność niewystarczającego wygasania sesji, ponieważ tokeny resetowania hasła nie mają znaczników czasu ważności. Atakujący, który zdobędzie nieużywany link resetowania hasła (np. z poczty, logów, kopii zapasowych lub historii przeglądarki), może ustawić nowe hasło przez checkEmailKey() i przejąć konto.

YesWiki w wersji przed 4.6.7 zawiera podatność obejścia autoryzacji w ApiService::isAuthorized(), która pozwala nieuwierzytelnionym atakującym wywoływać trasy API przeznaczone tylko dla administratorów, gdy włączony jest publiczny tryb API. Atakujący mogą wysyłać żądania do endpointów takich jak api/ci/update_config i api/archives, aby nadpisać konfigurację oraz wyświetlić, pobrać lub usunąć archiwa kopii zapasowych.