CVE-2026-52774 in YesWiki
Zusammenfassung
von VulDB • 05.09.2026
YesWiki ist ein Wiki-System, das in PHP geschrieben wurde. Vor Version 4.6.6 reflektiert der Bazar-Widget-Handler von YesWiki den GET-Parameter `id` unter Verwendung von nur `strip_tags()` in HTML-Attribute. Da `strip_tags()` keine doppelten Anführungszeichen maskiert (escapen), kann ein Angreifer aus dem Attributwert ausbrechen, einen Event-Handler wie `onmouseover` injizieren und beliebigen JavaScript-Code im Browser des Opfers ausführen. Dieses Problem ist ohne Authentifizierung erreichbar. Bei der Validierung gab die anfällige Widget-Route den injizierten HTML-Code sowohl für `/HomePage/widget?id=...` als auch für `/NoSuchPage/widget?id=...` zurück, was zeigt, dass weder eine Anmeldung noch Seitenbesitz oder Bearbeitungsrechte erforderlich waren und nicht einmal ein gültiger Seitentag benötigt wurde. Die einzige beobachtete Routing-Voraussetzung war, dass die Bazar-Erweiterung aktiviert ist und die Anfrage einen `id`-Parameter enthält. Dieses Problem wurde in Version 4.6.6 gepatcht.
If you want to get best quality of vulnerability data, you may have to visit VulDB.