CVE-2026-92776
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 36 - wyżej niż 36% wszystkich znanych CVE
Streszczenie
Wiki.js do wersji 2.5.314 nie wymaga separatorów ścieżki przy dopasowywaniu reguł stron START i END, co pozwala atakującym na dostęp do stron współdzielących prefiks z autoryzowanymi folderami. Użytkownicy z dostępem do folderu mogą czytać i modyfikować niepowiązane strony o pasującym prefiksie, omijając kontrolę dostępu.
Ocena ryzyka
Osoby z ograniczonym dostępem mogą uzyskać nieautoryzowany wgląd i modyfikować treści poza przydzielonym zakresem, co prowadzi do wycieku i naruszenia integralności danych.
Rekomendacja
Zaktualizuj Wiki.js do wersji nowszej niż 2.5.314, a do czasu aktualizacji zweryfikuj i zawęź reguły dostępu do folderów oraz przejrzyj uprawnienia użytkowników.
Inne podatności w Wiki.js
Zobacz wszystkie- CVE-2025-56643Krytyczne
Requarks Wiki.js 2.5.307 nie unieważnia poprawnie aktywnych tokenów JWT po wylogowaniu użytkownika. W rezultacie wcześniej wydane tokeny pozostają ważne i mogą być ponownie użyte do uzyskania dostępu do systemu, nawet po wylogowaniu. Problem dotyczy logiki resolvera uwierzytelniania i wpływa zarówno na punkt końcowy GraphQL, jak i mechanizm wylogowania.
- CVE-2026-92775Średnie
Wiki.js do wersji 2.5.314 włącznie zawiera podatność server-side request forgery w rendererze Image Prefetch, który pobiera dowolne adresy URL bez walidacji protokołu, hosta ani adresu. Atakujący z uprawnieniami do edycji stron może wstrzyknąć elementy img z klasą prefetch-candidate, aby zmusić serwer do odpytywania usług wewnętrznych i endpointów metadanych chmury, a odpowiedzi są zwracane atakującemu.
- CVE-2026-92774Średnie
Wiki.js do wersji 2.5.314 włącznie pomija tagi stron w kontrolach autoryzacji w wielu resolverach GraphQL, co pozwala obejść ograniczenia dostępu oparte na tagach. Atakujący może odpytywać resolvery list, tree, tags, searchTags i links, aby uzyskać metadane zastrzeżonych stron, w tym tytuły, opisy, ścieżki i informacje o tagach, bez odpowiedniej autoryzacji.
- CVE-2026-44224Wysokie
Wiki.js przed wersją 2.5.313 ma podatność, która pozwala użytkownikom na samodzielne przypisywanie się do grupy Administratorów poprzez modyfikację argumentów w mutacji GraphQL. Brak walidacji identyfikatorów grup umożliwia nieautoryzowane przyznanie sobie uprawnień administratora.
Oryginalny opis (angielski, źródło NVD)
Wiki.js through 2.5.314 fails to require path separators when matching START and END page rules, allowing attackers to access pages sharing a prefix with authorized folders. Users granted access to a folder can read and modify unrelated pages with matching prefixes, bypassing intended access controls.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS