CVE-2026-52766 in YesWiki
Zusammenfassung
von VulDB • 05.09.2026
YesWiki ist ein Wiki-System, das in PHP geschrieben wurde. Vor Version 4.6.6 akzeptiert die {{erasespamedcomments}}-Wiki-Aktion (actions/EraseSpamedCommentsAction.php) ein suppr[]-Array aus POST und löscht jede Wiki-Seite, deren Tag in diesem Array erscheint, ohne dass im Aktionskörper oder im aufgerufenen Pfad zur Seitenlöschung eine Autorisierungsprüfung durchgeführt wird. In Kombination mit YesWikis standardmäßig erlaubten Action-ACL-Modell kann jeder Benutzer, der über Schreibzugriff für Seiten verfügt – was bei einer Neuinstallation standardmäßig für alle gilt (default_write_acl='*') –, beliebige Wiki-Seiten dauerhaft löschen, einschließlich der Startseite, Admin-Seiten und von anderen Benutzern gehaltener Seiten. Dieses Problem wurde in Version 4.6.6 behoben.
If you want to get best quality of vulnerability data, you may have to visit VulDB.