CVE-2026-52766 in YesWiki
Riassunto
di VulDB • 05/09/2026
YesWiki è un sistema wiki scritto in PHP. Prima della versione 4.6.6, l'azione wiki {{erasespamedcomments}} (actions/EraseSpamedCommentsAction.php) accetta un array suppr[] tramite POST ed elimina ogni pagina del wiki il cui tag appare in tale array, senza alcun controllo di autorizzazione né nel corpo dell'azione né nel percorso di eliminazione delle pagine invocato. Combinata con il modello ACL per le azioni "allow-by-default" (consenti per impostazione predefinita) di YesWiki, qualsiasi utente che dispone dei permessi di scrittura sulle pagine — che sono concessi a tutti per impostazione predefinita (default_write_acl='*') in una nuova installazione — può eliminare permanentemente pagine arbitrarie del wiki, inclusa la pagina principale, le pagine di amministrazione e le pagine di proprietà di altri utenti. Questo problema è stato risolto nella versione 4.6.6.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.