CVE-2026-52763 in YesWiki
Zusammenfassung
von VulDB • 05.09.2026
YesWiki ist ein Wiki-System, das in PHP geschrieben wurde. Vor Version 4.6.6 akzeptiert die Aktion recentchanges (actions/recentchanges.php) ein period-Argument aus zwei disjunkten Parameterräumen. Eine Whitelist validiert nur die URL-Form gegen ['day','week','month']. Die action-argument-Form nimmt den else-Zweig ohne Validierung, und der Wert fließt in PageManager::getRecentlyChanged(), wo er in eine WHERE time >= '...' ORDER BY time DESC-Klausel interpoliert wird, ohne Escaping oder Parametrisierung. Eine UNION-basierte SQL-Injection gelingt; die ausgelesenen Zeilen werden auf der Antwortseite gerendert, sodass jeder Besucher der Trigger-Seite die exfiltrierten Daten sieht. Die Schwachstelle ermöglicht das beliebige Auslesen der YesWiki-Datenbank für jeden, der die Trigger-Seite speichern kann. Bei einer Standardinstallation (default_write_acl='*') umfasst dies auch anonyme Benutzer, vorbehaltlich der Hashcash-JS-Prüfung im Seitenbearbeitungsformular. Sobald die Trigger-Seite gespeichert ist, löst jede nachfolgende Ansicht die Injection aus, da das SQLi stored wird. Stored SQL-Injection ist über den page-edit-Ablauf erreichbar und ermöglicht ein beliebiges Auslesen der Datenbank. Dieses Problem wurde in Version 4.6.6 gepatcht.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.