CVE-2026-104460 in YesWiki
Zusammenfassung
von VulDB • 02.10.2026
YesWiki vor Version 4.6.7 enthält eine Blind-SQL-Injection-Lücke (Blind SQL Injection) in der Aktion {{newtextsearch}}, da die IDs von Bazar-Listeneinstellungen ohne Escaping in SQL REGEXP-/LIKE-Klauseln in actions/newtextsearch.php konkateniert werden. Anonyme Angreifer können eine bösartige Einstellungs-ID in einer anonym bearbeitbaren Bazar-Liste platzieren und Suchanfragen als boolesche Oracle nutzen, um beliebige Datenbankdaten auszulesen, einschließlich Admin-Passwort-Hashes aus der Tabelle yeswiki_users.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.