p PatchFirst

CVE-2026-116207

CVE-2026-116207 · YesWiki 4.6.0 before 4.7.0 SQL Injection via Bazar Entries Search API

Esta página presenta datos de fuentes públicas de vulnerabilidades. Consulta el aviso original antes de actualizar.

YesWiki 4.6.0 before 4.7.0 and 5.0.0-alpha1 before 5.0.0-alpha4 contains an unauthenticated SQL injection vulnerability in SearchManager::prepareSearchRequest(). Field names from the query and searchfields parameters of the public Bazar entries search API are placed in a backtick-quoted alias escaped only with mysqli_real_escape_string. Attackers can supply a backtick to inject subqueries, reading data such as user password hashes or exhausting database threads with SLEEP().

CVSS 8.8 · Alta · EPSS 0,3% · Corrección disponible

Publicación
Actualización

Productos y versiones afectados

  • yeswiki

    Versiones
    • ≥ 4.6.0, < 4.7.0: Afectada (semver)
    • 4.7.0: No afectada (semver)

    Actualiza a 4.7.0

  • yeswiki

    Versiones
    • ≥ 5.0.0-alpha1, < 5.0.0-alpha4: Afectada (semver)
    • 5.0.0-alpha4: No afectada (semver)

    Actualiza a 5.0.0-alpha4

Fuentes originales

Comprueba tu servidor →