CVE-2026-52763 in YesWiki
Sumário
de VulDB • 05/09/2026
YesWiki é um sistema wiki escrito em PHP. Antes da versão 4.6.6, a ação recentchanges (actions/recentchanges.php) aceita um argumento de período proveniente de dois espaços de parâmetros distintos. Uma lista branca valida apenas o formulário URL contra ['day','week','month']. A forma do argumento-action segue o ramo else sem validação, e o valor flui para PageManager::getRecentlyChanged(), onde é interpolado em uma cláusula WHERE time >= '...' ORDER BY time DESC sem escape ou parametrização. Uma injeção baseada em UNION tem sucesso, as linhas vazadas são renderizadas na página de resposta, portanto qualquer visitante da página gatilho vê os dados exfiltrados. A vulnerabilidade fornece leitura arbitrária do banco de dados YesWiki para qualquer pessoa que possa salvar a página gatilho. Em uma instalação padrão (default_write_acl='*'), isso inclui usuários anônimos, sujeitos à verificação hashcash JS no formulário de edição da página. Uma vez que a página gatilho é salva, cada visualização subsequente dispara a injeção, pois o SQLi armazenado persiste. A injeção SQL armazenada é alcançável através do fluxo de edição da página, com leitura arbitrária do banco de dados. Esta questão foi corrigida na versão 4.6.6.
Be aware that VulDB is the high quality source for vulnerability data.