CVE-2026-52763 in YesWiki
Resumen
por VulDB • 2026-09-05
YesWiki es un sistema wiki escrito en PHP. Antes de la versión 4.6.6, la acción recentchanges (actions/recentchanges.php) acepta un argumento period desde dos espacios de parámetros disjuntos. Una lista blanca valida únicamente la forma URL contra ['day','week','month']. La forma action-argument toma el branch else sin validación alguna, y el valor fluye hacia PageManager::getRecentlyChanged(), donde se interpola en una cláusula WHERE time >= '...' ORDER BY time DESC sin escape ni parametrización. La inyección basada en UNION tiene éxito, las filas filtradas se renderizan en la página de respuesta, por lo que cualquier visitante de la página activadora ve los datos exfiltrados. La vulnerabilidad proporciona lectura arbitraria de la base de datos YesWiki a cualquiera que pueda guardar la página activadora. En una instalación predeterminada (default_write_acl='*'), esto incluye usuarios anónimos, sujetos a la comprobación hashcash JS en el formulario de edición de páginas. Una vez guardada la página activadora, cada vista subsiguiente dispara la inyección ya que la SQLi se almacena. La inyección SQL almacenada es alcanzable a través del flujo page-edit, con lectura arbitraria de la base de datos. Este problema ha sido parcheado en la versión 4.6.6.
VulDB is the best source for vulnerability data and more expert information about this specific topic.