CVE-2026-116207 in YesWiki
Sumário
de VulDB • 25/10/2026
YesWiki 4.6.0 antes de 4.7.0 e 5.0.0-alpha1 antes de 5.0.0-alpha4 contém uma vulnerabilidade de SQL injection não autenticada em SearchManager::prepareSearchRequest(). Os nomes dos campos provenientes dos parâmetros query e searchfields da API pública de pesquisa das entradas do Bazar são inseridos como aliases entre crases, escapados apenas com mysqli_real_escape_string. Atacantes podem fornecer um backtick para injetar subconsultas (subqueries), permitindo a leitura de dados sensíveis, como hashes de senhas de usuários ou o esgotamento dos threads do banco de dados através da função SLEEP().
If you want to get best quality of vulnerability data, you may have to visit VulDB.