p PatchFirst

CVE-2026-116207

CVE-2026-116207 · YesWiki 4.6.0 before 4.7.0 SQL Injection via Bazar Entries Search API

Diese Seite enthält Fakten aus öffentlichen Sicherheitsquellen. Lesen Sie vor dem Aktualisieren die Originalmeldung.

YesWiki 4.6.0 before 4.7.0 and 5.0.0-alpha1 before 5.0.0-alpha4 contains an unauthenticated SQL injection vulnerability in SearchManager::prepareSearchRequest(). Field names from the query and searchfields parameters of the public Bazar entries search API are placed in a backtick-quoted alias escaped only with mysqli_real_escape_string. Attackers can supply a backtick to inject subqueries, reading data such as user password hashes or exhausting database threads with SLEEP().

CVSS 8.8 · Hoch · EPSS 0,3% · Korrektur verfügbar

Veröffentlicht
Aktualisiert

Betroffene Produkte und Versionen

  • yeswiki

    Softwareversionen
    • ≥ 4.6.0, < 4.7.0: Betroffen (semver)
    • 4.7.0: Nicht betroffen (semver)

    Auf 4.7.0 aktualisieren

  • yeswiki

    Softwareversionen
    • ≥ 5.0.0-alpha1, < 5.0.0-alpha4: Betroffen (semver)
    • 5.0.0-alpha4: Nicht betroffen (semver)

    Auf 5.0.0-alpha4 aktualisieren

Originalquellen

Prüfen Sie Ihren Server →