Podatności YesWiki
4 znanych podatności CVE w YesWiki, przetłumaczonych i ocenionych.
- CVE-2026-46670Krytyczne
YesWiki przed wersją 4.6.4 zawiera nieuwierzytelnioną podatność na SQL injection w ścieżce importu formularzy Bazar (FormManager::create()), co pozwala każdemu odwiedzającemu na wstrzyknięcie dowolnego SQL do instrukcji INSERT i odczytanie całej bazy danych, w tym hashy haseł użytkowników.
- CVE-2026-52778Krytyczne
YesWiki przed wersją 4.6.6 zawiera lukę niebezpiecznego wykonania w kalkulatorze pól formularza Bazar (CalcField.php), gdzie aplikacja próbuje oczyścić formuły matematyczne za pomocą złożonego wyrażenia regularnego przed przekazaniem ich do eval(), co jest podatne na ReDoS i może prowadzić do wykonania dowolnego kodu PHP.
- CVE-2026-34598Średnie
W YesWiki przed wersją 4.6.0 stwierdzono podatność na trwałe i ukryte XSS w polu tytułu formularza. Nieuwierzytelniony atakujący może wstrzyknąć JavaScript, który jest wykonywany przy odwiedzinach strony przez innych użytkowników.
- CVE-2025-52277Średnie
Podatność Cross Site Scripting (XSS) w YesWiki w wersji 4.54 umożliwia zdalnemu atakującemu wykonanie dowolnego kodu poprzez spreparowany ładunek w polu konfiguracji meta robots.