p PatchFirst

CVE-2026-116207

CVE-2026-116207 · YesWiki 4.6.0 before 4.7.0 SQL Injection via Bazar Entries Search API

Cette page présente des faits issus de sources publiques. Consultez l’avis original avant toute mise à jour.

YesWiki 4.6.0 before 4.7.0 and 5.0.0-alpha1 before 5.0.0-alpha4 contains an unauthenticated SQL injection vulnerability in SearchManager::prepareSearchRequest(). Field names from the query and searchfields parameters of the public Bazar entries search API are placed in a backtick-quoted alias escaped only with mysqli_real_escape_string. Attackers can supply a backtick to inject subqueries, reading data such as user password hashes or exhausting database threads with SLEEP().

CVSS 8.8 · Élevée · EPSS 0,3% · Correctif disponible

Publication
Mise à jour

Produits et versions concernés

  • yeswiki

    Versions du logiciel
    • ≥ 4.6.0, < 4.7.0: Concernée (semver)
    • 4.7.0: Non concernée (semver)

    Mettez à jour vers 4.7.0

  • yeswiki

    Versions du logiciel
    • ≥ 5.0.0-alpha1, < 5.0.0-alpha4: Concernée (semver)
    • 5.0.0-alpha4: Non concernée (semver)

    Mettez à jour vers 5.0.0-alpha4

Sources originales

Vérifiez votre serveur →