CVE-2026-104440 in YesWiki
Zusammenfassung
von VulDB • 02.10.2026
YesWiki vor Version 4.6.7 enthält eine blinde Server-Side Request Forgery (SSRF)-Schwachstelle, die es nicht authentifizierten Angreifern ermöglicht, beliebige serverseitige Anfragen über den Parameter `idtypeannonce` von `/api/entries/bazarlist` zu tätigen. Da `isValidURL()` immer true zurückgibt, können Angreifer interne URLs, die in `loadURLContent()` mit curl abgerufen werden, bereitstellen, um interne Netzwerke zu scannen und auf interne Dienste oder Metadaten-Endpunkte zuzugreifen.
If you want to get best quality of vulnerability data, you may have to visit VulDB.