CVE-2026-44224

Wysokie

Opublikowano: 12/05/2026(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Wiki.js przed wersją 2.5.313 ma podatność, która pozwala użytkownikom na samodzielne przypisywanie się do grupy Administratorów poprzez modyfikację argumentów w mutacji GraphQL. Brak walidacji identyfikatorów grup umożliwia nieautoryzowane przyznanie sobie uprawnień administratora.

Ocena ryzyka

Organizacje mogą być narażone na nieautoryzowany dostęp do pełnych uprawnień administratora, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendacja

Zaleca się aktualizację Wiki.js do wersji 2.5.313 lub nowszej, aby usunąć tę podatność oraz wprowadzenie dodatkowych kontroli dostępu do mutacji GraphQL.

Inne podatności w Wiki.js

CVE-2025-56643Krytyczne
Requarks Wiki.js 2.5.307 nie unieważnia poprawnie aktywnych tokenów JWT po wylogowaniu użytkownika. W rezultacie wcześniej wydane tokeny pozostają ważne i mogą być ponownie użyte do uzyskania dostępu do systemu, nawet po wylogowaniu. Problem dotyczy logiki resolvera uwierzytelniania i wpływa zarówno na punkt końcowy GraphQL, jak i mechanizm wylogowania.

Oryginalny opis (angielski, źródło NVD)

Wiki.js is an open source wiki app built on Node.js. Prior to 2.5.313, the users.update GraphQL mutation accepts an arbitrary groups array and applies it directly to the database with no validation of the group IDs supplied. The resolver passes the caller's arguments straight to the model without any ownership check or restriction on which groups can be assigned. A user with manage:users — a permission typically delegated to wiki moderators for account management — can set groups:[1] on their own account to self-assign to the Administrators group. After re-authentication, the fresh JWT carries manage:system, granting full site administrator access in a single mutation call. This vulnerability is fixed in 2.5.313.