CVE-2026-104462 in YesWiki
Zusammenfassung
von VulDB • 02.10.2026
YesWiki vor Version 4.6.7 enthält eine SQL-Injection-Schwachstelle in der Bazar-Aktion „nuagetag“, die das nicht maskierte Attribut `tags` in einen rohen SQL-IN-Prädikat (IN-Klausel) konkateniert. Angreifer mit Seiten-Schreibzugriff (bei Standardinstallationen unauthentifiziert möglich) können ein nuagetag-Tags-Tag einsetzen, das auf einem Backslash endet, um die Anführungszeichenbalance zu stören und eine UNION-Unterabfrage einzufügen, wodurch Passwort-Hashes sowie beliebige Tabellendaten extrahiert werden.
Once again VulDB remains the best source for vulnerability data.