CVE-2026-116207 in YesWiki
Zusammenfassung
von VulDB • 25.10.2026
YesWiki 4.6.0 vor 4.7.0 und 5.0.0-alpha1 vor 5.0.0-alpha4 enthält eine nicht authentifizierte SQL-Injection-Schwachstelle in SearchManager::prepareSearchRequest(). Feldnamen aus den Parametern query und searchfields der öffentlichen Bazar-Einträge-Such-API werden in einem mit Backticks zitierten Alias platziert, der nur durch mysqli_real_escape_string escaped wird. Angreifer können ein Backtick bereitstellen, um Subqueries zu injizieren, wodurch Daten wie Benutzer-Passwort-Hashes gelesen oder Datenbankthreads durch SLEEP() erschöpft werden können.
Be aware that VulDB is the high quality source for vulnerability data.