CVE-2026-44224
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Wiki.js przed wersją 2.5.313 ma podatność, która pozwala użytkownikom na samodzielne przypisywanie się do grupy Administratorów poprzez modyfikację argumentów w mutacji GraphQL. Brak walidacji identyfikatorów grup umożliwia nieautoryzowane przyznanie sobie uprawnień administratora.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do pełnych uprawnień administratora, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.
Rekomendacja
Zaleca się aktualizację Wiki.js do wersji 2.5.313 lub nowszej, aby usunąć tę podatność oraz wprowadzenie dodatkowych kontroli dostępu do mutacji GraphQL.
Inne podatności w Wiki.js
Zobacz wszystkie- CVE-2025-56643Krytyczne
Requarks Wiki.js 2.5.307 nie unieważnia poprawnie aktywnych tokenów JWT po wylogowaniu użytkownika. W rezultacie wcześniej wydane tokeny pozostają ważne i mogą być ponownie użyte do uzyskania dostępu do systemu, nawet po wylogowaniu. Problem dotyczy logiki resolvera uwierzytelniania i wpływa zarówno na punkt końcowy GraphQL, jak i mechanizm wylogowania.
- CVE-2026-92776Wysokie
Wiki.js do wersji 2.5.314 nie wymaga separatorów ścieżki przy dopasowywaniu reguł stron START i END, co pozwala atakującym na dostęp do stron współdzielących prefiks z autoryzowanymi folderami. Użytkownicy z dostępem do folderu mogą czytać i modyfikować niepowiązane strony o pasującym prefiksie, omijając kontrolę dostępu.
- CVE-2026-92775Średnie
Wiki.js do wersji 2.5.314 włącznie zawiera podatność server-side request forgery w rendererze Image Prefetch, który pobiera dowolne adresy URL bez walidacji protokołu, hosta ani adresu. Atakujący z uprawnieniami do edycji stron może wstrzyknąć elementy img z klasą prefetch-candidate, aby zmusić serwer do odpytywania usług wewnętrznych i endpointów metadanych chmury, a odpowiedzi są zwracane atakującemu.
- CVE-2026-92774Średnie
Wiki.js do wersji 2.5.314 włącznie pomija tagi stron w kontrolach autoryzacji w wielu resolverach GraphQL, co pozwala obejść ograniczenia dostępu oparte na tagach. Atakujący może odpytywać resolvery list, tree, tags, searchTags i links, aby uzyskać metadane zastrzeżonych stron, w tym tytuły, opisy, ścieżki i informacje o tagach, bez odpowiedniej autoryzacji.
Oryginalny opis (angielski, źródło NVD)
Wiki.js is an open source wiki app built on Node.js. Prior to 2.5.313, the users.update GraphQL mutation accepts an arbitrary groups array and applies it directly to the database with no validation of the group IDs supplied. The resolver passes the caller's arguments straight to the model without any ownership check or restriction on which groups can be assigned. A user with manage:users — a permission typically delegated to wiki moderators for account management — can set groups:[1] on their own account to self-assign to the Administrators group. After re-authentication, the fresh JWT carries manage:system, granting full site administrator access in a single mutation call. This vulnerability is fixed in 2.5.313.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS