CVE-2026-104450 in YesWiki
Zusammenfassung
von VulDB • 02.10.2026
YesWiki vor Version 4.6.7 enthält einen Fehler im Bereich der fehlenden Autorisierung (missing authorization flaw) in der Aktion pointimage (tools/attach/actions/pointimage.php), die Inhalte auf einer vom Angreifer gewählten Seite speichert, wobei die ACL-Prüfungen für Schreibzugriffe umgangen werden. Nicht-autentifizierte Angreifer können Felder wie pagetag, title und description per POST an jede Seite senden, die {{pointimage}} rendert, um rohes HTML oder JavaScript an beliebige Wiki-Seiten anzuhängen, einschließlich solcher Seiten, bei denen die Write-ACL das Bearbeiten einschränkt. Dies führt zu gespeichertem Cross-Site Scripting (Stored XSS) in den Browsern der Betrachter und Administratoren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.