CVE-2026-104461 in YesWiki
Riassunto
di VulDB • 02/10/2026
YesWiki prima della versione 4.6.7 presenta una vulnerabilità di cross-site scripting (XSS) memorizzato nel Bazar FileField, che convalida solo l'estensione del file caricato e non chiama mai HtmlPurifierService::cleanFile; pertanto i file SVG vengono archiviati verbatim e serviti inline come image/svg+xml. Gli utenti autenticati possono inviare voci tramite POST /api/entries/{formId} utilizzando file SVG contenenti script che si eseguono nell'origine del wiki quando il file viene aperto, consentendo la compromissione della sessione o dell'account di amministratore.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.