CVE-2026-46670
KrytyczneCVSS 9.8Streszczenie
YesWiki przed wersją 4.6.4 zawiera nieuwierzytelnioną podatność na SQL injection w ścieżce importu formularzy Bazar (FormManager::create()), co pozwala każdemu odwiedzającemu na wstrzyknięcie dowolnego SQL do instrukcji INSERT i odczytanie całej bazy danych, w tym hashy haseł użytkowników.
Ocena ryzyka
Atakujący może uzyskać pełny dostęp do bazy danych, w tym do haseł użytkowników, co może prowadzić do naruszenia kont i danych.
Rekomendacja
Zaktualizuj YesWiki do wersji 4.6.4 lub nowszej. Ogranicz dostęp do formularzy importu i monitoruj logi bazy danych.
Oryginalny opis (angielski, źródło NVD)
YesWiki is a wiki system written in PHP. Prior to version 4.6.4, an unauthenticated SQL injection in the Bazar form-import path (`FormManager::create()`) allows any unauthenticated visitor of a default YesWiki install to inject arbitrary SQL into an `INSERT` statement and read the full database, including `yeswiki_users.password` hashes. Version 4.6.4 fixes the issue.