PT-2026-42810 · Yeswiki · Yeswiki

Publicado 2026-05-22 · Atualizado 2026-05-26 · CVE-2026-46670

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas YesWiki versões anteriores a 4.6.4

Description Uma injeção de SQL não autenticada existe na funcionalidade de importação de formulários do Bazar. Um visitante não autenticado pode injetar SQL arbitrário em uma instrução INSERT através da função FormManager::create(). Isso ocorre devido à concatenação não citada da variável bn id nature na consulta SQL. Essa falha permite que um invasor leia todo o banco de dados, incluindo informações sensíveis, como e-mails de usuários e hashes de yeswiki users.password.

Recommendations Atualize para a versão 4.6.4 ou posterior. Como medida paliativa temporária, restrinja o acesso à funcionalidade de importação de formulários do Bazar e à função FormManager::create() até que a atualização seja aplicada.

Correção

SQL injection

Enumeração de Fraquezas

CWE-89

Identificadores relacionados

CVE-2026-46670

GHSA-JWVV-QR7Q-CV8J

Produtos afetados

Yeswiki

Referências · 7

• https://github.com/YesWiki/yeswiki · Nota
• https://github.com/YesWiki/yeswiki/security/advisories/GHSA-jwvv-qr7q-cv8j · Nota
• https://reddit.com/r/VulnMatter/comments/1tkuql2/resumen_diario_de_vulnerabilidades_22052026 · Publicação no Reddit
• https://reddit.com/r/VulnMatter/comments/1to7zxa/resumen_diario_de_vulnerabilidades_26052026 · Publicação no Reddit
• https://twitter.com/UpwindMDR/status/2058076274992500861 · Publicação no Twitter
• https://reddit.com/r/VulnMatter/comments/1tna2wo/resumen_diario_de_vulnerabilidades_25052026 · Publicação no Reddit
• https://osv.dev/vulnerability/GHSA-jwvv-qr7q-cv8j · Aviso do Fabricante